Ein kritischer Fehler in der Authentifizierung von JFrog Artifactory wird nur wenige Tage nach der Veroeffentlichung des Patches aktiv ausgenutzt. Die Schwachstelle CVE-2026-82329 (CVSS 9.8) steckt in der Access-Komponente von Artifactory und erlaubt es unangemeldeten Angreifern mit Netzwerkzugriff, auf selbstgehosteten Instanzen in Standardkonfiguration volle Administratorrechte zu erlangen. Die US-Behoerde CISA fuehrt die Luecke seit dem 2. September 2026 in ihrem Katalog bekannter ausgenutzter Schwachstellen (KEV).
Angreifer faelschen Admin-Tokens
JFrog veroeffentlichte den Fix am 28. August 2026. Bereits kurz darauf beobachteten Forscher der Firma watchTowr, wie Angreifer sich auf exponierten Servern selbst Administrator-Tokens ausstellten. Mit diesen Rechten lassen sich Nutzer, Gruppen, Zugangsdaten und foederierte Zugriffe auslesen sowie Reverse-Shells und Krypto-Miner nachladen. Da Artifactory als zentrale Drehscheibe fuer Binaries, Container, Pakete und KI-Modelle in vielen Software-Lieferketten sitzt, ist das Risiko fuer Folgeangriffe erheblich: Angreifer koennten gespeicherte Artefakte manipulieren oder abgreifen und so nachgelagerte Systeme kompromittieren.
Betroffene und gepatchte Versionen
Betroffen sind mehrere 7.x-Zweige selbstverwalteter Installationen; die JFrog-Cloud war laut Hersteller nie verwundbar. On-Premises-Betreiber muessen manuell auf eine der folgenden korrigierten Versionen aktualisieren:
- 7.111.21
- 7.117.28
- 7.125.20
- 7.133.29
- 7.146.38
- 7.161.20
Wichtig: Ein reines Update entwertet bereits ausgestellte Tokens nicht. Administratoren sollten daher nach dem Patch vorhandene Tokens pruefen, verdaechtige widerrufen und Access-Logs auf Missbrauch kontrollieren. Wer Artifactory ohne Not aus dem Internet erreichbar macht, sollte den Zugriff zusaetzlich einschraenken. Fuer US-Bundesbehoerden gilt die Priorisierung nach der neuen Direktive BOD 26-04.
Quellen: CISA-KEV-Meldung (2.9.2026), BleepingComputer, SecurityWeek.
