Draait u self-hosted JFrog Artifactory voor packages, Docker-images of CI/CD-artifacts, upgrade nu naar een vaste build op uw branch. CISA zette op 11 september 2026 CVE-2026-42016 en CVE-2026-42018 op de Known Exploited Vulnerabilities-lijst (deadline donderdag 25 september 2026). Onderzoekers zagen tussen half augustus en begin september 2026 actief misbruik: een anonieme token-lek plus privilege-escalatie tot admin, soms gevolgd door een Rust-backdoor. JFrog Cloud is volgens de vendor al gepatcht; self-managed blijft uw verantwoordelijkheid.
KMO-IMPACT: ACTIE NODIG
Wat er speelt
CVE-2026-42018 (High) kan een interne anonymous-user-token teruggeven aan een niet-aangemelde caller, ook als anonymous access uit staat. CVE-2026-42016 (High) laat een token met lage rechten escaleren omdat de scope onvoldoende wordt afgedwongen. Samen: van onauthenticated request naar admin-rechten. Daarnaast blijft CVE-2026-82329 (Critical) relevant: authentication bypass die tot administratieve toegang kan leiden; CISA zette die al op 2 september 2026 op de KEV-lijst.
Vaste versies die de kritieke reeks dekken (branch afhankelijk): 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38 of 7.161.20 (of nieuwer op dezelfde lijn). Check uw exacte build tegen de JFrog Security Advisories; één upgrade op de juiste branch lost doorgaans meerdere advisories tegelijk op.
Wat betekent dit voor uw onderneming?
- Voor wie: softwarebureaus, productteams, SaaS-kmo’s en MSP’s met self-hosted Artifactory (on-prem of eigen cloud-VM); wie Artifactory via een hostingpartner draait, moet de versie laten bevestigen.
- Vanaf wanneer: patches al beschikbaar (juli–augustus 2026 per advisory); CISA-KEV voor 42016/42018 op 11 september 2026; due date 25 september 2026. Actief misbruik vastgesteld tot begin september 2026.
- Financiële impact: overname van de artifact-server (packages, secrets, CI-tokens), supply-chain-risico voor klanten, herstel en forensiek zwaarder dan een gepland onderhoudsvenster.
- Wat moet u doen: noteer huidige versie; upgrade naar de vaste build van uw branch; beperk of haal publieke toegang weg tot de patch staat; bekijk Access-/auditlogs op onverwachte admin-tokens, nieuwe admin-accounts en verkeer naar
/access/api/v1/aws/token/en token-exchange. - Deadline: zo snel mogelijk, praktisch gericht op donderdag 25 september 2026 (CISA); internet-facing instanties eerst.
- Nog niet duidelijk: of uw instantie al geraakt is vóór de patch — dat vraagt loganalyse; JFrog Cloud valt buiten deze actie.
Praktisch voor de zaakvoerder
Vraag developer of MSP: “Welke Artifactory-versie draaien we, is die self-hosted, en staat de upgrade naar 7.111.21 / 7.117.28 / 7.125.20 / 7.133.29 / 7.146.38 / 7.161.20 (branch) gepland vóór 25 september?” Zonder bevestigd versienummer blijft het risico open. Prioriteer publiek bereikbare servers; interne instanties met productie-artifacts volgen meteen.
