Drei neue JFrog-Artifactory-CVEs aktiv ausgenutzt
CVE-2026-82329, CVE-2026-42018 und CVE-2026-42016, die alle JFrog Artifactory betreffen, wurden im September 2026 in CISAs Katalog der aktiv ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen [1][2][3]. Artifactory dient als zentrales Repository für Software-Build-Artefakte, Binärdateien, Pakete, Container, Dateien, Releases und zunehmend auch KI/ML-Artefakte. Eine Kompromittierung von Artifactory könnte einem Angreifer erlauben, sensible Artefakte und Zugangsdaten zu stehlen, vertrauenswürdige Pakete und Container-Images zu manipulieren oder zu ersetzen und das Repository zu nutzen, um Schadcode über nachgelagerte Build- und Deployment-Pipelines zu verbreiten. Für die aktiv ausgenutzten CVEs wurden zahlreiche nationale CERT-Advisories veröffentlicht [1][2][3][4][5][6][7][8][9][10][11][12][13][14][15].
Jetzt kostenlos testen
Der OPENVAS ENTERPRISE FEED von Greenbone erkennt regelmäßig Schwachstellen, die JFrog Artifactory betreffen – auch neue, aktiv ausgenutzte Schwachstellen [1][2][3]. Sicherheitsverantwortliche können OPENVAS SCAN jetzt kostenlos herunterladen, inklusive einer zweiwöchigen Testversion des OPENVAS ENTERPRISE FEED. Die Cybersicherheitsprodukte von Greenbone bieten den tiefsten Einblick in Softwareschwachstellen in Ihrer Infrastruktur.
Risikobewertung der jüngsten Angriffe auf JFrog Artifactory
JFrog Artifactory erschien im August 2026 erstmals in CISAs KEV-Katalog. Der Greenbone-Blog berichtete bereits über die einzige andere KEV-CVE, die JFrog Artifactory betrifft, im August Threat Report: The Vulnpocalypse Hits Full Force. Die neuen Angriffe deuten auf einen verstärkten Fokus auf Artifactory hin und werden vermutlich durch KI-gestützte Exploit-Entwicklung unterstützt.
Am 1. September berichtete watchTowr über die aktive Ausnutzung von CVE-2026-82329, gefolgt von Fastly am 3. September. Eine Angriffskampagne, die CVE-2026-42018 und CVE-2026-42016 verkettet, um selbst gehostete Instanzen anzugreifen, wurde von Wiz Research gemeldet. In Kombination erlaubt der Angriffsablauf für CVE-2026-42018 und CVE-2026-42016 eine böswillige, nicht authentifizierte HTTP-Anfrage, die ein Zugriffstoken mit Admin-Rechten zurückgibt. Wiz beobachtete zudem die in freier Wildbahn erfolgte Ausnutzung von CVE-2026-82329.
Mehrere detaillierte technische Analysen mit Proof-of-Concept-(PoC)-Exploit-Anleitungen sind online verfügbar [1][2][3], und PoC-Exploit-Toolkits sind auf GitHub verfügbar [4][5], was das Risiko weiterer Angriffskampagnen erhöht.
Technische Zusammenfassung der aktiv ausgenutzten JFrog-Artifactory-CVEs
Die neuen, aktiv ausgenutzten Schwachstellen werden im Folgenden beschrieben:
Die drei aktiv ausgenutzten JFrog-Artifactory-CVEs, jeweils mit CVSS-Schweregrad und EPSS-Ausnutzungswahrscheinlichkeit dargestellt
Eine Authentifizierungsschwäche [CWE-287] erlaubt es einem nicht authentifizierten Angreifer mit Netzwerkzugriff, administrative Rechte zu erlangen. Die Schwachstelle ist in der Standardkonfiguration des Produkts ausnutzbar. Sie wurde am 28. August offengelegt, und der OPENVAS ENTERPRISE FEED erhielt kurz nach der Offenlegung der CVE einen Remote-Banner-Check.
Eine fehlerhafte Autorisierung [CWE-863] ermöglicht eine Rechteausweitung. Ursache ist eine Prüfung, die zwar Signatur und Aussteller eines Tokens validiert, nicht aber dessen Berechtigungsumfang. CVE-2026-42016 wurde Ende Juli 2026 veröffentlicht, und der OPENVAS ENTERPRISE FEED erhielt kurz nach der Offenlegung einen Remote-Banner-Check.
Eine fehlerhafte Authentifizierung [CWE-287] gibt einem nicht authentifizierten Aufrufer ein anonymes Benutzertoken zurück, selbst wenn der anonyme Zugriff deaktiviert ist. Die Ausnutzung kann einem Angreifer Zugriff auf sensible Ressourcen verschaffen. CVE-2026-42018 wurde am 12. August 2026 veröffentlicht, und der OPENVAS ENTERPRISE FEED erhielt seit der Offenlegung einen Remote-Banner-Check.
Gegenmaßnahmen für die aktiv ausgenutzten JFrog-Artifactory-CVEs
Jetzt kostenlos testen
Der OPENVAS ENTERPRISE FEED von Greenbone erkennt regelmäßig Schwachstellen, die JFrog Artifactory betreffen – auch neue, aktiv ausgenutzte Schwachstellen [1][2][3]. Sicherheitsverantwortliche können OPENVAS SCAN jetzt kostenlos herunterladen, inklusive einer zweiwöchigen Testversion des OPENVAS ENTERPRISE FEED. Die Cybersicherheitsprodukte von Greenbone bieten den tiefsten Einblick in Softwareschwachstellen in Ihrer Infrastruktur.
Die betroffenen Versionen für jede der neuen, aktiv ausgenutzten CVEs sind unten aufgeführt:
JFrog unterstützt Minor-Versionen von selbst gehosteten Artifactory-Installationen nur 18 Monate nach ihrem Veröffentlichungsdatum. Die Minor-Versionen 7.111.x für selbst gehostete Instanzen erreichen im Oktober 2026 das Ende ihres Lebenszyklus (EOL). Vollständige Listen der behobenen Versionen finden sich oben sowie in jedem OPENVAS SCAN-Erkennungsergebnis und in den Sicherheitshinweisen des Herstellers. Nutzende sollten ihre Gefährdung sorgfältig prüfen und auf die neueste 7.x-Version mit einem angemessenen Support-Lebenszyklus aktualisieren.
Ist ein sofortiges Upgrade nicht möglich, empfiehlt JFrog als Workaround für CVE-2026-82329, unter shared.security in der Datei system.yaml einen starken, zufällig generierten Wert für additionalJoinKeys zu konfigurieren (bzw. bei containerisierten/Helm-Deployments über JF_SHARED_SECURITY_ADDITIONALJOINKEYS) und den Access-Service neu zu starten, damit nur vertrauenswürdige Join-Keys für die Dienstregistrierung akzeptiert werden. Für CVE-2026-42018 oder CVE-2026-42016 bietet der Hersteller keine Workaround-Maßnahmen an.
Zusammenfassung
Drei Schwachstellen in JFrog Artifactory wurden im September nach bestätigter aktiver Ausnutzung in CISAs KEV-Katalog aufgenommen. Die Schwachstellen stellen ein erhebliches Risiko für Software-Lieferketten und nachgelagerte Build-Umgebungen dar. Öffentlich verfügbare technische Analysen und Exploit-Tools erhöhen die Gefährdung zusätzlich. Organisationen sollten betroffene Artifactory-Instanzen identifizieren, auf unterstützte, behobene Versionen aktualisieren und, sofern ein sofortiges Patchen nicht möglich ist, den von JFrog dokumentierten Workaround für CVE-2026-82329 anwenden.
Jetzt kostenlos testen
Der OPENVAS ENTERPRISE FEED von Greenbone erkennt regelmäßig Schwachstellen, die JFrog Artifactory betreffen – auch neue, aktiv ausgenutzte Schwachstellen [1][2][3]. Sicherheitsverantwortliche können OPENVAS SCAN jetzt kostenlos herunterladen, inklusive einer zweiwöchigen Testversion des OPENVAS ENTERPRISE FEED. Die Cybersicherheitsprodukte von Greenbone bieten den tiefsten Einblick in Softwareschwachstellen in Ihrer Infrastruktur.
Josephs Karriere im Bereich IT und Cybersicherheit ist von Vielfalt und Leidenschaft geprägt. Sie begann in den späten 1980er Jahren mit der Arbeit an einem IBM PS/2, der Montage von PCs und der Programmierung in C++.
Er studierte Computer- und Systemtechnik, Anthropologie und erwarb einen MBA mit Schwerpunkt Technologieprognose.
Josephs Fachgebiete umfassen Datenanalyse, Softwareentwicklung und insbesondere IT-Sicherheit in Unternehmen. Er ist Experte für Schwachstellenmanagement, Verschlüsselung und Penetrationstests.
