概要
ソフトウェアパッケージ管理ツール「JFrog Artifactory」の認証バイパスに関する重大脆弱性CVE-2026-82329(CVSSスコア9.8)が、8月28日のパッチ公開からわずか数日で実際に悪用されていることが明らかになった。セキュリティ企業watchTowrの調査によると、攻撃者はハニーポット上で管理者権限トークンを不正に発行し、ユーザー、グループ、認証情報、さらにはフェデレーテッドアクセスの構成までを列挙する行為が確認されている。一部の事例ではバックドアユーザーの作成も試みられていた。JFrogはクラウド版に対して8月28日に自動でパッチを適用済みだが、セルフホスト版の管理者には至急のアップデートが求められている。
脆弱性の技術的詳細
CVE-2026-82329は、認証情報の発行・検証を担うコンポーネント「JFrog Access」に存在する認証の欠陥だ。JFrogの説明によれば、デフォルト構成下でネットワークアクセスを持つ未認証の攻撃者が管理者権限を取得できてしまう。watchTowrの研究者は、追加の join key を設定していないインスタンスには「phantom(幽霊)」な join key が割り当てられており、攻撃者はこれを悪用して認証情報を偽造し、管理者レベルの資格情報を生成できると説明している。JFrogのCTOは、この脆弱性はリモートコード実行ではなく、あくまで認証の不備によるものだと位置付けている。
影響を受けるバージョンは以下の通り多岐にわたる。
- 7.111.4 〜 7.111.21
- 7.117.0 〜 7.117.27
- 7.125.0 〜 7.125.19
- 7.133.0 〜 7.133.28
- 7.146.0 〜 7.146.36
- 7.161.0 〜 7.161.19
修正版はそれぞれ7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20として提供されている。クラウド版は8月28日に自動的にパッチが適用済みだが、セルフホスト版は管理者自身によるアップデート作業が必要となる。
悪用の実態と専門家の見解
watchTowrがハニーポット上で観測した攻撃活動には、CVEの存在を確認するだけの単純な検証から、実際に管理者トークンを生成してユーザーやグループ、認証情報セットを列挙する本格的な偵察行為まで幅があった。一部のケースではバックドアユーザーの作成やフェデレーテッドアクセストポロジーの精査も確認されている。Vercelの最高経営責任者Guillermo Rauch氏は、この脆弱性が「デフォルト構成に影響し、認証もユーザー操作も不要」である点を強調し、管理者権限への昇格がソフトウェアサプライチェーンシステムに深刻な被害をもたらしうると警鐘を鳴らした。脅威分析の専門家Yordan Ganchev氏も、攻撃者がパッケージレジストリのような中央集権的なソフトウェアサプライチェーンシステムで管理者権限を奪取した場合、ビルドパイプラインの改ざんや本番環境への横展開が可能になると指摘している。なお、JFrog自体は本稿執筆時点で実悪用を公式には確認していない。
影響とサプライチェーンへの懸念
Artifactoryはソフトウェア開発におけるパッケージやアーティファクトの中央管理基盤として広く利用されており、管理者権限が奪われた場合の影響範囲は単一システムにとどまらない。ビルド成果物の改ざんや不正なパッケージの配布を通じて、下流の利用者やCI/CDパイプラインにまで被害が波及するサプライチェーン攻撃のリスクが指摘されている。パッチ公開から実悪用の確認までの期間が数日という短さは、重大脆弱性の情報公開後に攻撃者が迅速に武器化を進める傾向を改めて示しており、セルフホスト版のArtifactoryを運用する組織には、修正版への早急なアップグレードとログの精査が強く推奨される。