サイバーセキュリティ企業のWizによると、脅威アクターがJFrog Artifactoryに存在する3件の深刻度の高い脆弱性を悪用し、導入環境を侵害してバックドアを設置していることが明らかになりました。
多くの組織は、ソフトウェアアーティファクト、バイナリ、AIモデル、コンテナ、パッケージの管理にArtifactoryを利用しています。
今回問題となっている3件の脆弱性、CVE-2026-42016、CVE-2026-42018、CVE-2026-82329は、いずれも攻撃者による認証バイパスと、脆弱なArtifactoryインスタンスへの管理者権限奪取を許す可能性があります。
8月12日に修正された不適切な認証の不具合であるCVE-2026-42018は、匿名ユーザートークンを取得するために悪用可能で、これにより機密性の高いアーティファクトやリポジトリデータへのアクセスが可能になります。
7月27日に修正されたCVE-2026-42016は、トークン検証が不十分な問題で、権限昇格に悪用される恐れがあります。
CVE-2026-82329は8月28日に修正された認証バイパスの脆弱性で、認証なしにリモートから悪用し、管理者権限を取得できる可能性があります。実際の悪用についても、その数日後に報告されています。
Wizによると、CVE-2026-42018とCVE-2026-42016は8月中旬以降、連鎖的に悪用されており、まず匿名ユーザートークンを取得したうえで、それを使って管理者権限へと昇格させる手口が確認されています。
「2026年8月15日から9月8日にかけて、複数の攻撃者がセルフホスト型のArtifactoryインスタンスに対し、CVE-2026-42018とCVE-2026-42016を連鎖させて悪用する様子を確認しました」とWizは述べています。
攻撃者は、永続的な管理者アカウントの設置、任意のコード実行を可能にする悪意あるプラグインのインストール、プラグインのエンドポイントを介したシェルコマンドの実行、第2段階のペイロードの投下、さらに継続的なアクセスを維持するためのスクリプトの更新といった行動を取っていたことが確認されています。
また、複数の脅威アクターが9月第1週から新たにCVE-2026-82329の悪用を開始しており、設定情報の窃取、永続的な管理者アクセスの確保、トークンの発行、クラスターキーの窃取、資産の列挙などを行っていました。
一部のケースでは、攻撃者が自ら作成したユーザーアカウントに独自のSSH鍵を紐付けている様子も確認されています。
CISAは金曜日、CVE-2026-42018とCVE-2026-42016を既知の悪用済み脆弱性(KEV)カタログに追加しました。これは、CVE-2026-82329を同カタログに追加してから1週間後のことです。BOD 26-04に基づき、連邦政府機関には脆弱なインスタンスを修正するための2週間の猶予が与えられています。
すべての組織に対し、自社で管理しているArtifactoryの導入環境を、できるだけ早くバージョン7.161.20、7.146.38、7.133.29、7.125.20、7.117.28、7.111.21のいずれかに更新するよう推奨します。
翻訳元: https://www.securityweek.com/three-jfrog-artifactory-flaws-exploited-for-backdoor-deployment/
