目前，Artifactory 中有三个正在被积极利用的漏洞。这些漏洞允许攻击者绕过通过互联网访问的自托管 Artifactory 部署中的身份验证，在五分钟内获得持久的管理员访问权限。随后，攻击者可以利用这些漏洞实施危险活动，包括窃取凭据和密钥、执行任意代码、持久化以及采取反取证措施。
安全公司 Wiz.io 报告称，攻击者正在将这些漏洞串联起来，以实现权限提升，并完全控制自托管 Artifactory 实例：
这些 CVE 极易被利用，只需发送少量未经身份验证的 HTTP 请求即可。如果实例在存在漏洞期间处于暴露状态，请假设系统已经遭到入侵，并搜寻入侵痕迹。虽然升级能堵住漏洞，但无法驱逐已经潜入系统内部的攻击者 [...]
这三个漏洞分别是：CVE-2026-42018，严重程度评级为高危，该漏洞“可能导致 Artifactory 向未经身份验证的请求者返回内部匿名用户令牌，即使已禁用匿名访问”；CVE-2026-42016，评级同样为高危，该漏洞导致 Artifactory 无法正确地验证请求令牌，使得“拥有低权限的攻击者可能利用有效令牌获取更高的权限并执行未经授权的操作”；CVE-2026-82329，评级为严重，该漏洞允许未经身份验证的攻击者获得管理控制权。
正如 Wiz.io 所指出的那样，其中两个漏洞可能在攻击中被串联利用，从而导致持久化的管理员账户以及后续的利用活动。
每次漏洞利用攻击的流程都大同小异。向 /access/api/v1/aws/token/ 发送一个未经过身份验证且末尾带斜杠的 POST 请求，得到的响应是 HTTP 200 状态码以及一个属于内部匿名用户的 JWT，这样便利用了 CVE-2026-42018 漏洞。随后，攻击者通过 POST /access/api/v1/tokens 将该 JWT 兑换为一个管理员作用域令牌。该请求会返回 HTTP 200 状态码，这样便利用了 CVE-2026-42016 的作用域验证漏洞。权限提升后的令牌保留了匿名用户名，但具备管理员权限，因此在后续请求中，攻击者的身份将显示为 token:anonymous。
此外，利用 CVE-2026-82329 漏洞可以直接获取管理员级别的令牌。根据观察，一旦获得管理员权限，攻击者便可以创建持久化的管理员账户、部署用于执行代码的恶意 Groovy 插件、窃取凭据和 Access 签名密钥、建立后门，并部署反取证机制。
Wiz.io 还指出，在某些已经观察到的案例中，攻击者在不到五分钟的时间内就完成了漏洞利用并获得了管理员权限。
网络安全专家 Erik York 在 LinkedIn 上就这一漏洞披露发表评论称：
Artifactory 处于许多软件供应链的核心位置。如果不尽快修复，那么这些漏洞会演变成明年的“SolarWinds 事件”。
Graylog 信息安全高级总监 Jim Nitterauer 强调，为确保供应链安全，必须对所有受影响的系统打补丁：
由于 Artifactory 处于软件构建管道的核心位置，一旦遭到入侵，将直接构成供应链风险，而补丁的部署严重滞后——在第三个漏洞披露后的四天内，就已经观察到了相关攻击。
所有 Artifactory 自托管环境都应该立即升级至一个修复了这些漏洞的版本，包括 7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20 或更新版本（具体取决于部署的版本分支）。