JFrog Artifactory の脆弱性 CVE-2026-42018／42016／82329：積極的な悪用と Admin 権限奪取

JFrog Artifactory Vulnerabilities Actively Exploited in the Wild to Gain Administrative Control

2026/09/11 CyberSecurityNews — JFrog Artifactory に存在する 3 件の脆弱性が実環境で積極的に悪用され、認証の回避／権限昇格／外部公開されたサーバの管理者権限の奪取などが発生している。これらの脆弱性 CVE-2026-42016／CVE-2026-42018／CVE-2026-82329 は、Artifactory の複数のリリース・ブランチに影響を及ぼし、サプライチェーン・セキュリティに深刻なリスクをもたらす。

すでに攻撃者は、セルフ・ホスト型の Artifactory 導入環境を標的とし、永続的な管理者アカウントの作成／悪意のある Groovy プラグインの導入／シェルコマンドの実行／Rust ベースのバックドアの設置などを行っている。一般的な Artifactory には、ソフトウェアパッケージ／認証情報／リポジトリ・メタデータ／CI/CD 連携などが保存されているため、侵害に成功した攻撃者は、広範な開発環境／クラウド環境へ侵入する経路を得る可能性がある。

脆弱性 CVE-2026-42018 は、匿名アクセスが無効になっている場合でも、内部の匿名ユーザー・トークンが未認証のリモート要求元に漏洩する可能性がある認証上の欠陥である。このトークンにより、Artifactory の内部匿名 ID から利用可能なリソースへの不正アクセスが生じる可能性がある。

脆弱性 CVE-2026-42016 は、トークンのスコープ検証に存在する欠陥である。Artifactory はトークンの署名と発行者を検証するが、許可されたスコープが正しく適用されない場合があり、この脆弱性を悪用する攻撃者は、有効な低権限トークンを悪用し、昇格した権限を要求する可能性がある。

JFrog Artifactory の脆弱性が実環境で積極的に悪用されている

Wiz は 2026年8月15日〜9月8日に、CVE-2026-42018／CVE-2026-42016 が連鎖的に悪用される攻撃を確認した。この攻撃は、”/access/api/v1/aws/token/” へ向けた POST リクエストから始まり、匿名の JWT トークンが受信され、”/access/api/v1/tokens” へトークンを送信する攻撃者が、管理者スコープのトークンを生成した。

これにより管理者権限が取得される一方、それ以降の操作はログ上で “token: anonymous” と記録されていた。攻撃者が “/api/security/users/” などのエンドポイントを介して、5 分未満で永続的な管理者アカウントを作成するという複数の事例も確認されている。

Artifactory 標準のプラグイン・フレームワークを通じて悪意の Groovy プラグインをインストールした攻撃者は、サーバ側で任意のコマンドを実行できる状態にしていた。その他にも、ペイロードを設置するドロッパーは、”/tmp”、”/dev/shm”、”/var/tmp” などの書き込み可能な場所へバイナリをダウンロードし、その後に C2 通信を確立していた。

3 件目の脆弱性 CVE-2026-82329 は、デフォルト構成を使用する Artifactory の導入環境に影響する、深刻度が Critical の認証バイパスの欠陥である。この脆弱性を悪用する未認証の攻撃者は、”/access/api/v1/registry/join” へ POST リクエストを送信し、管理者スコープのトークンを取得する可能性がある。

Wiz が悪用を確認した期間は 9月1日〜9月8日であり、その後、設定情報の窃取／ユーザーおよびリポジトリの列挙／トークンの作成／クラスタ参加キーの窃取が行われていた。この攻撃者は、”jfrog-distribution”／”jfrog-insight”／”repo-service”／”backup-service”／”ldap_admin”／”0xterror” という名前のアカウントを作成しており、これらのアカウントは通常のサービス ID に紛れ込むことが可能となっている。したがって、最初に悪用された脆弱性が修正された後も、長期的なアクセスを維持できる状態になっている。

JFrog Artifactory Exploitation IOCs:
TypeIOCs
IP / C293.104.155[.]133, 146.19.216[.]120, 185.190.58[.]172, 45.61.176[.]88, 137.184.111[.]69, 64.207.232[.]6:8443
Payload URLshxxp://log.gitclone[.]org:45678/smtp, hxxp://3.88.162[.]79:36789/smtp
File / Hash/tmp/.z — 513a907b69edffc3cb77a494da395178d21ef9bd
Account0xterror, svc_[a-zA-Z0-9]{8}, Nxploited_[a-zA-Z0-9]{3}

クラウド環境における公開状態も依然として深刻である。Wiz の調査では、CVE-2026-42016 が 7月27日に公表された時点で、Artifactory を運用する組織の 67% に少なくとも 1 台の脆弱なインスタンスが存在していた。また、CVE-2026-42018 については公表時点で 69% の組織が脆弱な状態にあり、CVE-2026-82329 は 8月28日の公表時点で 67% の組織に影響していた。Critical の認証バイパスに対する修正は迅速に進んだが、2 週間後も 49% の組織が脆弱な状態にあった。

組織に求められるのは、修正済みリリースへのアップグレードを実施した上で、すべての Artifactory インスタンスを特定し、インターネットへ公開された導入環境に優先的に対応することである。修正済みバージョンは、影響するリリース・ブランチに応じて、7.111.21／7.117.28／7.125.20／7.133.29／7.146.38／7.161.20 などのバージョンとして提供されている。

セキュリティチームに求められるのは、”/access/api/v1/aws/token/”、”/access/api/v1/tokens”、”/access/api/v1/registry/join” へ向けたリクエストの痕跡を調査することである。さらに、匿名 ID／低権限 ID による想定外の特権操作／新たに作成された管理者アカウント／プラグインの導入／トークンの発行／設定情報のエクスポート／Artifactory サーバからの異常な外向き通信についても調査する必要がある。

JFrog Artifactory の複数の深刻な脆弱性 CVE-2026-42018／CVE-2026-42016／CVE-2026-82329 に関する記事が紹介されています。これらは実環境において積極的に悪用されており、認証回避／権限昇格／管理者権限の奪取を引き起こします。その結果、開発環境への侵入やバックドアの設置といった重大な被害が生じるリスクがあります。影響を受ける環境では、最新バージョンへの更新／外部公開されている端末の特定／不審なアクセスログの調査など、適切な対応が強く求められます。