JFrog Artifactoryの脆弱性を連鎖させた不正アクセス、管理者権限奪取やバックドア設置の被害が判明

要点

• クラウドセキュリティ企業のWizが、リポジトリ管理ツール「JFrog Artifactory」の脆弱性を連鎖させた攻撃を観測したと発表した。

• 攻撃者は2件の脆弱性を組み合わせることで、未認証の状態から管理者権限を持つトークンを不正に取得していた。

• 権限奪取後は不正なGroovyプラグインの導入やRust製バックドアの設置など、多岐にわたる侵害活動が行われていた。

• 別途、単体で管理者権限を奪取できる深刻な脆弱性（CVE-2026-82329）の悪用も確認されている。

• JFrogは修正パッチを提供しており、セルフホスト版を利用するユーザーに対してアップデートを呼びかけている。

• クラウドセキュリティ企業のWizは2026年9月、ソフトウェアのビルドパイプラインで広く利用されるリポジトリ管理ツール「JFrog Artifactory」の複数の脆弱性を悪用した攻撃を観測したと発表した。攻撃者は単体では管理者権限を取得できない2つの脆弱性を連鎖させることで、セルフホスト型のサーバーを乗っ取り、バックドアを設置していたという。

2つの脆弱性を組み合わせた攻撃手法

Wizの報告によると、今回観測された連鎖攻撃は2026年8月15日から9月8日にかけて行われた。標的となったのは「CVE-2026-42018」と「CVE-2026-42016」の2つの脆弱性だ。いずれの欠陥も単独では管理者権限を取得できないが、攻撃者はこれらを連続して悪用することで権限昇格を達成していた。

第1段階で悪用されたCVE-2026-42018は、匿名アクセスが無効化されている設定であっても、未ログインの呼び出し元に対して内部の匿名ユーザートークン（認証情報）を返してしまう不具合である。続くCVE-2026-42016では、Artifactoryがトークンの署名や発行者を検証するものの、許可された操作範囲（スコープ）を正しく確認しない不備を突く。これにより、攻撃者は最初に入手した低権限の匿名トークンを、管理者スコープを持つ強力なトークンへと交換できた。

一連の攻撃では、未認証のリクエストで匿名トークンを取得した後、トークン生成エンドポイントを介して管理者トークンへ昇格させる手順が取られていた。この管理者トークンはユーザー名が「anonymous」のまま維持されるため、管理操作を行ってもログには個別のアカウント名ではなく「token:anonymous」と記録される。一部の事例では、最初のリクエストから5分足らずで新しい管理者アカウントが作成されていた。

侵入後の不正操作とバックドアの展開

管理者権限を手に入れた攻撃者の活動は多岐にわたり、Wizは単一のグループによる犯行ではないと分析している。

攻撃者は侵害したサーバー上に管理者アカウントを作成して永続的なアクセス手段を確保したほか、Artifactoryのプラグインフレームワークを悪用して悪意あるGroovyプラグインを導入した。これによりサーバー上で自由なコード実行権限を獲得し、プラグイン実行用エンドポイント経由でシェルコマンドを実行して内部ファイルを探索していた。

さらに、ドロッパー（不正ファイルをダウンロードして配置するプログラム）を用いて「/tmp」などの書き込み可能なディレクトリへバイナリを配置し、外部の指令サーバーと通信するC2（コマンド＆コントロール）チャネルを確立していた。複数の事例では、C2機能を備えたRust製のカスタムバックドアが配置されていたことも確認されている。

単体で悪用可能なCVSS 9.8の脆弱性も同時期に猛威

今回の報告では、2件の連鎖攻撃とは別に「CVE-2026-82329」と呼ばれる別の脆弱性の悪用も取り上げられている。これは9月1日から9月8日にかけて個別に悪用が確認された、CVSSスコア9.8（Critical）の極めて深刻な認証バイパスの欠陥である。

CVE-2026-82329はデフォルト設定のArtifactoryを標的としており、他の脆弱性を必要とせず、未認証の攻撃者がネットワーク経由で単独で管理者権限を取得できる。JFrogによる情報開示の直後から悪用が始まり、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は9月2日に対策カタログへ追加し、連邦機関へ迅速な対応を指示した。

CDN大手のFastlyの分析によると、9月1日にエクスプロイトコードが公開されて以降スキャンが急増し、ピークとなった9月2日には同社プラットフォーム上で約40万6000件の悪用試行トラフィックが検知された。この脆弱性で侵害されたサーバーでは、システム設定の閲覧や、ノード間の登録に用いる共有シークレット「クラスタ参加キー」の窃取被害も発生している。

影響範囲と対策

JFrogは各リリースブランチ向けに修正パッチを公開しており、セルフホスト版の利用者に速やかなアップグレードを求めている。なお、クラウド版のインスタンスについてはベンダー側で対応済みのため、ユーザー側の作業は不要だ。

CVE-2026-42018はバージョン7.111.20、7.117.27、7.125.19、7.133.28、7.146.8などで修正されている。CVE-2026-42016は7.133.11で修正されており、7.146系や7.161系は元々この脆弱性の対象外である。また、単独で悪用可能なCVE-2026-82329については、7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20などのバージョンで対策が行われている。直ちに更新できない環境向けには、ランダムな値を生成する回避策も案内されている。