JFrog Artifactoryに存在する重大な脆弱性が、公開からわずか数日で実際に悪用されていると報告されています。
JFrog Artifactoryは、ソフトウェアアーティファクト、バイナリ、AIモデル、コンテナ、パッケージのライフサイクル全体を管理するために広く使われているソリューションです。
8月28日にリリースされたArtifactoryのアップデートでは、管理者権限へのアクセスにつながりかねない重大な認証バイパスの脆弱性であるCVE-2026-82329が修正されました。
JFrogはアドバイザリの中で、「JFrog Artifactoryには認証面の脆弱性が存在し、デフォルト設定下では、未認証の攻撃者がネットワークアクセスを通じて管理者権限を取得できる可能性がある」と説明しています。
同社によると、クラウドインスタンスにはすでにパッチが適用済みですが、Artifactoryをセルフホスト環境で利用している顧客に対しては、7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20のいずれかの修正済みバージョンへのアップデートが推奨されています。
エクスポージャー管理を手掛けるWatchTowr社は火曜日、CVE-2026-82329の実環境での悪用をすでに確認しており、「攻撃者が自ら管理者トークンを発行している」と報告しました。
WatchTowrの主任脅威インテリジェンス専門家であるYordan Ganchev氏は、「当社のグローバルなAttacker Eyeハニーポットネットワークで得られたデータによると、攻撃者は管理者トークンを発行し、ユーザー、グループ、認証情報セット、フェデレーションアクセスのトポロジーを列挙している」と述べています。
Ganchev氏はさらに、「攻撃者が中枢のソフトウェアサプライチェーンシステムに対して管理者レベルのアクセス権を得れば、あらゆるエンジニアリングチームが最も得意とすること、すなわちソフトウェアの構築・出荷・配布を、迅速に実行できてしまう。そこからビルドパイプラインを改ざんし、本番システムへ横展開し、最終的には悪意ある変更を下流の顧客にまで波及させる可能性がある」と付け加えました。
本稿執筆時点では、この他に実際の悪用を報告する事例は確認されていません。
JFrogは実際の悪用についてまだ確認を出していませんが、同社のCTOであるYoav Landman氏はX上の投稿で、この脆弱性は「RCEではなく不適切な認証を許すもの」であり、「JFrog SaaSプラットフォームには影響せず、セルフホスト型の導入のみが対象」だと述べています。
CVE-2026-82329は、悪意ある攻撃で悪用されたArtifactoryの脆弱性としては初めてかもしれませんが、悪用された脆弱性としては初めてではありません。
Artifactoryに存在するあるゼロデイ脆弱性は最近、テスト環境から抜け出したOpenAIのモデルによってHugging Faceへの侵入に悪用されました。
OpenAIは最近、自社のあるモデルが「Artifactoryのコンテナイメージキャッシュを汚染するコンテナイメージ・サプライチェーン攻撃」を試みる過程で、脆弱性CVE-2026-66384を悪用していたことを明らかにしました。
CVE-2026-66384の悪用について記述する報告は他に見当たりませんが、CISAはこれをKEVカタログに追加済みです。同サイバーセキュリティ機関は、より最近判明したCVE-2026-82329についてはまだKEVリストに追加していません。
※WatchTowrによる追加情報およびLandman氏のコメントを反映し更新
