概要
ソフトウェア成果物管理プラットフォームJFrog Artifactoryの脆弱性3件が、実際の攻撃キャンペーンで連鎖的に悪用され、バックドア設置や機密データ窃取にまで発展していたことがWiz Researchの調査で明らかになった。対象は認証回避の脆弱性であるCVE-2026-42018とCVE-2026-82329、および権限昇格の脆弱性であるCVE-2026-42016の3件。複数の脅威アクターが2026年8月15日から9月8日にかけてCVE-2026-42018とCVE-2026-42016を組み合わせて悪用し(CVE-2026-82329は9月上旬から別途悪用が確認されている)、匿名アクセスしかできない状態からわずか5分未満で管理者権限を奪取した事例も確認されている。JFrogはすでに各脆弱性を修正済みだが、開示から数週間が経過した現在もインターネットに公開されたインスタンスの半数前後が未対策のまま残っており、CISAはKEV(既知の悪用済み脆弱性)カタログに追加して連邦機関に2週間以内のパッチ適用を義務付けた。
攻撃チェーンの技術的な仕組み
Wizの分析によると、攻撃の起点となるCVE-2026-42018は、匿名アクセスを無効化していてもPOST /access/api/v1/aws/token/エンドポイントが内部の匿名ユーザー用JWTを返してしまう認証回避の不備で、7月27日にパッチ提供が始まった一連の修正の一環として8月12日に修正された。攻撃者はこのJWTを足がかりに、POST /access/api/v1/tokensを呼び出して管理者スコープのトークンを新規発行する。ここで悪用されるのがCVE-2026-42016で、トークンの署名や発行者は正しく検証される一方、本来意図されたスコープの強制が不十分なため、低権限のトークンから管理者権限のトークンを作りだせてしまう。最後にPUT /api/security/users/<username>で永続的な管理者アカウントを作成し、正規の管理コンソールにログインできる状態を確立する。もう一つのCVE-2026-82329は、デフォルト設定のままPOST /access/api/v1/registry/joinを呼び出すことで認証なしに管理者権限を取得できる、より直接的かつ深刻な認証回避で、重大度はクリティカルと評価されている。侵入後は、任意コマンド実行を可能にする悪意あるGroovyプラグインの導入、Rust製でC2機能を備えたバックドアの展開、ウェブシェル配置、SSHキーの追加による永続化、設定情報やリポジトリ構成の窃取といった一連のポスト侵害活動が観測された。
パッチ状況とCISAの対応
修正版は7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20以降で提供されているが、パッチ適用の進み方には脆弱性ごとに差が出ている。最も早く修正されたCVE-2026-42016は、公開から6週間が経過してもなお到達可能なインスタンスの59%が脆弱なままだった。CVE-2026-42018は4週間で69%から62%への改善にとどまる一方、最も深刻度が高いCVE-2026-82329は2週間で67%から49%まで改善しており、重大度の高さが対応の速さに直結したとWizは指摘する。全体では、到達可能なArtifactoryインスタンスの49~62%が3件のいずれかに対して脆弱な状態にあるという。CISAはCVE-2026-42018とCVE-2026-42016をKEVカタログに追加し、連邦機関に対して2週間以内のパッチ適用を義務付けた。Wizは、パッチ適用と並行して、意図しないトークンの発行履歴や見覚えのない管理者アカウント、不審なSSHキーの追加がないかを調査するよう推奨しており、ソフトウェア成果物やAIモデル、コンテナイメージの管理にArtifactoryを利用する組織は早急な対応が求められる。