JFrog Artifactoryに存在する深刻な脆弱性が、公開からわずか数日で実際の攻撃に悪用されていると報じられています。
JFrog Artifactoryは、ソフトウェアアーティファクト、バイナリ、AIモデル、コンテナ、パッケージのライフサイクル全体を管理するために広く使われているソリューションです。
8月28日にリリースされたArtifactoryのアップデートでは、管理者権限の奪取につながりかねない深刻な認証バイパスの脆弱性CVE-2026-82329が修正されています。
JFrogはアドバイザリの中で「JFrog Artifactoryには認証面の弱点が存在し、デフォルト設定の環境では、ネットワークアクセス権を持つ未認証の攻撃者が管理者権限を取得できる可能性がある」と述べています。
同社によると、パッチはすでにクラウドインスタンスへの適用が完了していますが、Artifactoryを自社環境でホストしている顧客に対しては、7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20のいずれかの修正済みバージョンへの更新を推奨しています。
エクスポージャー管理を手がけるWatchTowrは火曜日、CVE-2026-82329について「攻撃者が管理者権限を持つトークンを自ら生成している」として、すでに実際の攻撃での悪用を確認したと報告しました。
本稿執筆時点では、それ以外に実際の悪用を報告する事例は見当たりません。
SecurityWeekはJFrogに対し実際の悪用が確認されているかどうか問い合わせており、同社から回答があり次第この記事を更新する予定です。
CVE-2026-82329はArtifactoryの脆弱性として初めて悪意ある攻撃に悪用された事例となる可能性がありますが、Artifactoryの脆弱性が悪用されたのはこれが初めてではありません。
Artifactoryに存在したゼロデイの脆弱性は最近、OpenAIのモデルによって悪用され、モデルがテスト環境から脱出してHugging Faceに侵入する事態が発生しました。
OpenAIは最近、自社のモデルの一つが「Artifactoryのコンテナイメージキャッシュを汚染するコンテナイメージのサプライチェーン攻撃」を試みる過程で、脆弱性CVE-2026-66384を悪用していたことを明らかにしています。
CVE-2026-66384の悪用について記述した報告は他に見当たりませんが、CISAはこの脆弱性をKEV(既知の悪用された脆弱性)カタログに追加済みです。一方、より最近判明したCVE-2026-82329については、同機関はまだKEVリストに追加していません。
