Angreifer nutzen derzeit kritische und hochriskante Schwachstellen in JFrog Artifactory aus, um Authentifizierungsmechanismen zu umgehen, administrative Berechtigungen zu erlangen und eine Rust-basierte Backdoor auf selbst gehosteten Servern zu installieren. Die Angriffskette kombiniert mehrere Sicherheitslücken, die Angreifern binnen weniger Minuten die vollständige Kontrolle über betroffene Systeme ermöglichen. Besonders brisant: Nach Einschätzung von Sicherheitsexperten sind zwischen 49 und 62 Prozent aller erreichbaren Artifactory-Instanzen verwundbar.
Die ausgenutzten Schwachstellen im Detail
Die Angriffskette basiert auf drei Schwachstellen, die in den vergangenen Wochen publik wurden und nun aktiv in freier Wildbahn ausgenutzt werden. Besonders im Fokus stehen CVE-2026-42018 und CVE-2026-42016, die das Cloud-Sicherheitsunternehmen Wiz in einer aktuellen Analyse als Teil einer Exploit-Kette identifizierte. Die dritte Lücke, CVE-2026-82329, wurde bereits Anfang des Monats von der Offensivsicherheitsfirma watchTowr beobachtet und ermöglichte Angreifern das Erstellen von Administrator-Token.
Authentifizierungsumgehung über anonymen Benutzer
Im ersten Schritt nutzen Angreifer CVE-2026-42018 aus. Diese Schwachstelle erlaubt es, ein JSON Web Token (JWT) zu erlangen, das einem internen anonymen Artifactory-Benutzer zugeordnet ist – selbst dann, wenn der anonyme Zugriff in der Konfiguration deaktiviert wurde. Das erlangte Token besitzt zunächst nur niedrige Privilegien, bildet aber die Grundlage für die weitere Eskalation.
Privilege Escalation auf Administratorebene
Im zweiten Schritt der Angriffskette kommt CVE-2026-42016 zum Einsatz. Diese Schwachstelle beruht auf einer unzureichenden Token-Validierung in der Artifactory-Software. Angreifer können das zuvor erlangte JWT des anonymen Benutzers gegen ein Token mit administrativen Rechten austauschen. Die Forscher von Wiz dokumentierten, dass dieser Vorgang in einigen Fällen weniger als fünf Minuten dauerte – vom ersten Ausnutzen der Lücke bis zur Erstellung eines vollwertigen Administrator-Kontos.
Ablauf der Angriffskette und eingesetzte Malware
Nachdem die Angreifer administrative Konten angelegt und langlebige Zugriffstokens generiert hatten, installierten sie bösartige Groovy-Plugins. Diese Plugins dienten dazu, beliebige Befehle auf dem betroffenen Artifactory-Server auszuführen. In der Folge etablierten die Angreifer eine persistente Hintertür, indem sie eine Rust-basierte Backdoor mit Command-and-Control-Fähigkeiten (C2) auf den Systemen ablegten.
Die Beobachtungen von Wiz zwischen dem 15. August und dem 8. September zeigen ein mehrstufiges Vorgehen: In der nächsten Phase luden die Angreifer zusätzliche Payloads in die Verzeichnisse /dev/shm, /tmp und /var/tmp herunter. Sie installierten Webshells, entwendeten Artifactory-Konfigurationsdaten und Cluster-Join-Keys, durchsuchten Repositorys, Tokens und Benutzerkonten und fügten ihre eigenen SSH-Schlüssel zu neu angelegten Accounts hinzu.
Indikatoren für eine Kompromittierung und Schutzmaßnahmen
Systemadministratoren sollten umgehend prüfen, ob ihre Artifactory-Instanzen den Angriffen ausgesetzt waren. Wichtige Indikatoren für eine Kompromittierung sind unerwartete Token-Erstellungen, nicht autorisierte Administrator-Konten, verdächtige Plugin-Aktivitäten sowie auffällige Enumeration-Requests. Wiz hat zudem eine Liste mit Indikatoren der Kompromittierung (Indicators of Compromise, IoCs) veröffentlicht, die eine schnelle Erkennung erleichtern.
Empfohlene Versionen für das Update
JFrog hat mehrere Patch-Versionen veröffentlicht, die die genannten Schwachstellen schließen. Betroffene Systeme sollten umgehend auf eine der folgenden Versionen oder neuer aktualisiert werden:
- 7.111.21
- 7.117.28
- 7.125.20
- 7.133.29
- 7.146.38
- 7.161.20
Nach dem Update sollten Administratoren internetexponierte Instanzen genau untersuchen. Darüber hinaus ist es ratsam, den Zugriff auf vertrauenswürdige Systeme zu beschränken und die Netzwerksegmentierung zu überprüfen.
Warum diese Angriffswelle besonders gefährlich ist
Die Kombination aus Authentifizierungsumgehung und Privilege Escalation macht diese Angriffskette zu einer ernstzunehmenden Bedrohung für Unternehmen, die JFrog Artifactory in selbst gehosteten Umgebungen betreiben. Artifactory dient als zentrales Repository für Binärdateien, Container-Images und Abhängigkeiten – eine Kompromittierung kann daher weitreichende Auswirkungen auf die gesamte Software-Lieferkette haben. Die Angreifer nutzen nicht nur die initialen Lücken, sondern etablieren durch die Rust-Backdoor eine dauerhafte Präsenz, die auch nach einem Neustart oder Teil-Updates bestehen bleiben kann.
Die Tatsache, dass mehrere Akteure parallel dieselbe Exploit-Kette verwendeten, deutet auf eine breite Verfügbarkeit von Exploit-Code hin. Unternehmen, die ihre Artifactory-Instanzen noch nicht aktualisiert haben, sollten dies als kritischen Sicherheitsvorfall behandeln. Die nächsten Schritte umfassen nicht nur das Einspielen der Patches, sondern auch eine forensische Untersuchung der Systeme auf Anzeichen einer bereits erfolgten Kompromittierung. In einer Zeit, in der Angreifer immer schneller Schwachstellen ausnutzen, ist die Kombination aus zeitnahem Patch-Management, kontinuierlichem Monitoring und der Minimierung der Angriffsfläche der wirksamste Schutz.
