Angreifer verkettet JFrog-Artifactory-Schwachstellen zur Verbreitung einer Rust-Backdoor

Angreifer kompromittieren derzeit aktiv selbst gehostete JFrog-Artifactory-Server, indem sie Schwachstellen bei Authentifizierung und Autorisierung miteinander kombinieren. Anschließend richten sie einen dauerhaften administrativen Zugriff ein und verbreiten speziell entwickelte Malware.

Wiz beobachtete zwischen dem 15. August und dem 8. September 2026 in mehreren Umgebungen Angriffe, bei denen CVE-2026-42018 und CVE-2026-42016 zum Einsatz kamen. In einigen Fällen legten die Angreifer weniger als fünf Minuten nach Beginn der Ausnutzung ein neues Administratorkonto an.

Eine weitere kritische Schwachstelle, CVE-2026-82329, wurde ebenfalls ausgenutzt, um Administrator-Tokens zu erzeugen. Sie wurde am 2. September 2026 in den Katalog der bekannten ausgenutzten Schwachstellen der US-Behörde Cybersecurity and Infrastructure Security Agency aufgenommen.

Wiz schätzt, dass 49 % bis 62 % der erreichbaren Artifactory-Instanzen mindestens einer der drei Schwachstellen ausgesetzt waren. Die gemeldeten Angriffe betrafen vor allem selbst gehostete Systeme, insbesondere solche, die aus dem Internet erreichbar sind.

Token mit eingeschränkten Rechten wird zum Administratorzugriff

Die Angriffskette mit zwei Schwachstellen beginnt mit CVE-2026-42018, einer fehlerhaften Authentifizierungsprüfung mit einem CVSS-Score von 7,5. Die Schwachstelle lässt sich aus der Ferne ohne Zugangsdaten und ohne Interaktion eines Benutzers ausnutzen.

Ein nicht authentifizierter Aufrufer kann ein JSON Web Token erhalten, das dem internen anonymen Benutzer von Artifactory zugeordnet ist – auch dann, wenn Administratoren den anonymen Zugriff deaktiviert haben. Das daraus resultierende Token verfügt zunächst nur über eingeschränkte Berechtigungen, liefert dem Angreifer jedoch die für die nächste Phase erforderlichen Zugangsdaten.

CVE-2026-42016 ermöglicht anschließend die Rechteausweitung. Artifactory überprüft zwar die Signatur und den Aussteller des Tokens, kontrolliert dessen Geltungsbereich jedoch nicht ausreichend. Ein Angreifer, der über das Token des internen anonymen Benutzers verfügt, kann diese Lücke bei der Autorisierung ausnutzen und Berechtigungen auf Administratorebene erlangen.

CVE-2026-42016 hat einen CVSS-Score von 8,1 und betrifft JFrog Artifactory Self Hosted in Versionen vor 7.133.11. Die Schwachstelle ist als fehlerhafte Autorisierung klassifiziert und setzt ein Token mit eingeschränkten Rechten voraus – eine Voraussetzung, die CVE-2026-42018 erfüllt.

Der genaue Bereich betroffener Versionen für CVE-2026-42018 wurde in den verfügbaren NVD-Informationen nicht veröffentlicht. Administratoren sollten das Fehlen eines angegebenen Versionsbereichs daher nicht als Beleg dafür werten, dass eine Bereitstellung nicht betroffen ist.

Für keine der beiden Phasen ist eine Benutzerinteraktion erforderlich. Sobald Angreifer einen verwundbaren Artifactory-Dienst erreichen können, lässt sich die Angriffskette vom nicht authentifizierten Zugriff bis zur vollständigen administrativen Kontrolle fortsetzen.

Groovy-Plugins und eine Rust-Backdoor sorgen für Persistenz

Der administrative Zugriff ermöglichte es den Eindringlingen, über den Missbrauch von Tokens hinauszugehen. Sie legten unbefugte Administratorkonten an und erzeugten langlebige Zugriffstokens, über die sie nach der ursprünglichen Kompromittierung auf weiteren Wegen zurückkehren konnten.

Die Angreifer installierten außerdem bösartige Groovy-Plugins. Da solche Plugins Befehle innerhalb der Artifactory-Umgebung ausführen können, boten sie einen direkten Mechanismus, um von den Angreifern kontrollierten Code auf dem zugrunde liegenden System auszuführen.

Wiz entdeckte in den untersuchten Vorfällen wiederholt eine speziell entwickelte Rust-Backdoor mit Command-and-Control-Funktionen. Ihr Auftreten in mehreren Umgebungen weist auf eine wiederkehrende Komponente der Post-Exploitation hin, auch wenn die Identität der Betreiber bislang nicht geklärt ist.

Zu den beobachteten Aktivitäten gehörten:

• Herunterladen weiterer Payloads nach /dev/shm, /tmp und /var/tmp
• Hochladen von Webshells
• Auflisten von Repositories, Benutzern und Zugriffstokens
• Diebstahl von Artifactory-Konfigurationsdaten und Cluster-Join-Keys
• Hinzufügen von SSH-Keys der Angreifer zu neu erstellten Konten
• Anlegen von Administratorbenutzern und dauerhaften Zugriffstokens
• Installieren von Groovy-Plugins, die beliebige Befehle ausführen können

Der Diebstahl von Cluster-Join-Keys vergrößert die möglichen Auswirkungen. Sicherheitsteams sollten offengelegte Konfigurationsdaten und Authentifizierungsgeheimnisse als kompromittiert behandeln, statt davon auszugehen, dass die alleinige Entfernung der Backdoor die Sicherheit wiederherstellt.

Wiz veröffentlichte mit der Kampagne verbundene Indicators of Compromise, die einzelnen Indikatoren liegen hier jedoch nicht vor. Unternehmen müssen daher vom Anbieter oder von Sicherheitsforschern bereitgestellte Erkennungsmaterialien mit verhaltensbasierten Suchen nach Konten, Tokens, Plugins, Dateien und Befehlen kombinieren, die nicht zur normalen Administration passen.

Separate kritische Schwachstelle bereits im KEV-Katalog der CISA

WatchTowr beobachtete unabhängig davon die Ausnutzung von CVE-2026-82329 zur Erstellung von Administrator-Tokens. Die Schwachstelle ist eine Authentifizierungsschwäche, die JFrog Artifactory in Versionen vor 7.111.21 bei der Standardkonfiguration betrifft.

Sie hat einen CVSS-Score von 9,8. Dieser ergibt sich aus der Möglichkeit einer Ausnutzung aus der Ferne ohne Authentifizierung oder Benutzerinteraktion sowie aus den potenziellen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Die verfügbaren Belege zeigen nicht, dass es sich bei den Betreibern, die CVE-2026-82329 ausnutzen, um dieselben Akteure handelt, die die Kette aus CVE-2026-42018 und CVE-2026-42016 einsetzen. Die Aktivitäten sollten als getrennte Vorgänge behandelt werden, solange keine weitergehende Zuordnung einen Zusammenhang herstellt.

Die CISA nahm CVE-2026-82329 am 2. September 2026 in ihren KEV-Katalog auf und bestätigte damit eine Ausnutzung in freier Wildbahn. Die Frist für die Behebung durch zivile US-Bundesbehörden lief am 5. September 2026 ab.

Die CISA verpflichtet betroffene Organisationen, die vom Anbieter bereitgestellten Gegenmaßnahmen umzusetzen und dabei BOD 26-04, „Prioritizing Security Updates Based on Risk“, sowie die Forensics Triage Requirements einzuhalten. Behörden müssen die jeweils geltenden Vorgaben von BOD 26-04 für Cloud-Dienste befolgen oder das Produkt nicht weiter verwenden, wenn keine Gegenmaßnahmen verfügbar sind. Außerdem müssen sie die Internet-Exposition jedes Assets bewerten und die entsprechenden Anforderungen an die Installation von Sicherheitsupdates umsetzen.

Dies ist nicht der einzige aktuelle KEV-Eintrag von JFrog. CVE-2026-66384, eine weitere mit dem Anbieter verbundene Schwachstelle, wurde am 27. August 2026 in den Katalog aufgenommen.

Patch-Empfehlungen für mehrere Artifactory-Release-Zweige

Administratoren von JFrog Artifactory sollten umgehend auf eine der folgenden Versionen oder eine spätere Version des jeweiligen Zweigs aktualisieren:

• 7.111.21
• 7.117.28
• 7.125.20
• 7.133.29
• 7.146.38
• 7.161.20

Diese Versionen zur Behebung der Schwachstellen dürfen nicht mit dem spezifischen NVD-Schwellenwert für CVE-2026-42016 verwechselt werden, dem zufolge Versionen vor 7.133.11 verwundbar sind. Warum sich dieser Schwellenwert von den empfohlenen Versionen der einzelnen Release-Zweige unterscheidet, wurde nicht erläutert.

Die bekannten betroffenen Versionen stellen sich daher wie folgt dar:

Schwachstelle	Funktion im Angriff	Betroffene Versionen
CVE-2026-42018	Erhält ein JWT des internen anonymen Benutzers	Genauer Bereich nicht veröffentlicht
CVE-2026-42016	Hebt die Berechtigungen des Tokens mit eingeschränkten Rechten auf Administratorebene an	Artifactory Self Hosted vor 7.133.11
CVE-2026-82329	Ermöglicht bei der Standardkonfiguration nicht authentifizierten administrativen Zugriff	Artifactory vor 7.111.21

Da für CVE-2026-42018 kein Bereich betroffener Versionen veröffentlicht wurde, sollten sich Unternehmen an den vorgegebenen Versionen zur Behebung orientieren, statt ausschließlich anhand des für eine einzelne Schwachstelle genannten Schwellenwerts zu patchen.

Überprüfung auf eine Kompromittierung muss auch nach dem Upgrade fortgesetzt werden

Die Installation einer Version mit behobenen Schwachstellen schließt bekannte Einstiegspunkte, entfernt jedoch keine Konten, Tokens, Webshells, Plugins oder Malware, die bereits auf einem Server platziert wurden. Jede exponierte Instanz sollte nach dem Upgrade untersucht werden.

Sicherheitsteams sollten die Artifactory-Audit- und Zugriffsprotokolle auf unerwartete Ausstellungen von Tokens prüfen, insbesondere auf Tokens, die anonymen oder neu erstellten Identitäten zugeordnet sind. Alle Administratorkonten sollten mit einem freigegebenen Bestand abgeglichen und nicht erklärbare langlebige Tokens widerrufen werden.

Groovy-Plugins erfordern besondere Aufmerksamkeit. Administratoren sollten kürzlich hinzugefügte oder geänderte Plugins identifizieren, feststellen, wer sie installiert hat, und alle von ihnen gestarteten Befehle oder untergeordneten Prozesse überprüfen.

Die Systeme sollten außerdem nach ungewöhnlichen ausführbaren Dateien, Skripten oder abgelegten Payloads in /dev/shm, /tmp und /var/tmp durchsucht werden. Über das Web erreichbare Verzeichnisse sollten auf Webshells untersucht werden. Zudem sind die Kontenkonfigurationen auf unbefugte SSH-Keys zu prüfen.

Wenn möglicherweise auf Konfigurationsdaten oder Cluster-Join-Keys zugegriffen wurde, sollten Sicherheitsteams die betroffenen Geheimnisse austauschen und verbundene Artifactory-Knoten überprüfen. Das Auflisten von Repositories, Benutzern und Tokens kann außerdem darauf hindeuten, dass die Angreifer die Umgebung kartiert haben, bevor sie Daten stahlen oder ihren Zugriff ausweiteten.

Schließlich sollten selbst ge hostete Artifactory-Dienste auf vertrauenswürdige Netzwerke und Administrationssysteme beschränkt werden, anstatt sie direkt dem öffentlichen Internet auszusetzen. JFrog hatte die gemeldete Ausnutzung zum Zeitpunkt der Anfrage noch nicht öffentlich bestätigt, wie BleepingComputer berichtet.