脅威アクターが、JFrog Artifactoryの深刻度「クリティカル」および「重要」の脆弱性を悪用し、認証をバイパスして管理者権限を取得したうえで、脆弱なセルフホスト型サーバーにRust製バックドアを展開していることが分かりました。
クラウドセキュリティ企業Wizが公開した新たなレポートでは、複数の環境にわたる悪用が確認されており、CVE-2026-42018とCVE-2026-42016を組み合わせたエクスプロイトチェーンも含まれています。
3つ目の脆弱性であるCVE-2026-82329は、深刻度クリティカルの認証バイパスで、攻撃的セキュリティ企業watchTowrが今月初めに管理者トークンを偽造する攻撃に悪用されているのを観測しています。
Wizによると、攻撃者はCVE-2026-42018を悪用することで、匿名アクセスが無効化されている場合でも、Artifactory内部の匿名ユーザーに紐づくJSON Web Token(JWT)を、低い権限のまま取得できるとしています。
その後、トークン検証が不十分であることに起因するCVE-2026-42016を悪用し、権限を管理者レベルまで引き上げます。
8月15日から9月8日にかけて、複数の脅威アクターがこの2つの脆弱性を悪用して内部匿名ユーザーのJWTを取得し、それを管理者権限スコープのトークンと交換していました。
研究者によれば、攻撃者が管理者アカウントを作成するまでにかかった時間は、ケースによっては5分未満だったといいます。
管理者アカウントを作成して長期間有効なアクセストークンを生成した後、攻撃者は任意のコマンドを実行するために悪意のあるGroovyプラグインをインストールし、さらにRustベースのバックドアを展開することで永続化を確立していました。
「2026年8月15日から2026年9月8日にかけて、複数のアクターがセルフホスト型のArtifactoryインスタンスに対してCVE-2026-42018とCVE-2026-42016を連鎖させて悪用しているのを観測しました」とWizは述べています。
「複数のケースにおいて、C2機能を備えたカスタムRust製バックドアが投下されるのを確認しました」
次の段階として、脅威アクターは/dev/shm、/tmp、/var/tmpに追加のペイロードをダウンロードし、Webシェルをアップロードして、Artifactoryの設定データやクラスター参加キーを窃取したうえで、リポジトリ・トークン・ユーザーを列挙し、新たに作成したアカウントに自身のSSHキーを追加していました。
Wizは、インターネットからアクセス可能なArtifactoryインスタンスのうち49%から62%が、これら3つの脆弱性のいずれか少なくとも1つに対して脆弱であると警告しています。
システム管理者には、以下のいずれかのArtifactoryリリースバージョン以降へ直ちにアップグレードすることが推奨されています。
- 7.111.21
- 7.117.28
- 7.125.20
- 7.133.29
- 7.146.38
- 7.161.20
アップグレード後は、インターネットに公開されているインスタンスについて、予期しないトークンの作成、不正な管理者アカウント、不審なプラグインの動作、列挙リクエストがないかを調査し、アクセスを信頼できるシステムのみに制限してください。
Wizは、防御側が今回観測された攻撃を迅速に検知できるよう、関連する侵害指標(IoC)を公開しています。
BleepingComputerは今回報告された活動について確認を求めるべくJFrogに問い合わせましたが、本記事の公開時点で回答は得られていません。
