情報取得日: 2026/09/11／最終確認: 2026/09/13・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-42016 |
|---|---|
| 製品 | JFrog / JFrog Artifactory（Self Hosted / 自己ホスト版）。NVD の該当範囲は 7.133.11 未満 |
| CVSS | 8.8（High） CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-863 不正な認可 |
| 登録／公開日 | 2026/09/11 |
| KEV 期限 | 2026/09/25 まで（米国連邦機関向け目安） |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-42016 |
JFrog Artifactory の自己ホスト版 7.133.11 より前の版に、**トークンの検証が署名と発行者しか見ておらず、そのトークンに与えられたスコープ（権限の範囲）を見ていない**という欠陥がある。結果として、正規に発行された低い権限のトークンを持つ利用者が、そのトークンで本来届かないはずの操作に到達できる。NVD の主評価（nvd@nist.gov）は CVSS 3.1 で **8.8**（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）、JFrog 自身の評価は 8.1（可用性への影響を A:N と見る点が異なる）である。 **Artifactory はビルド成果物とコンテナイメージの保管庫であり、そこへの書き込み権限はソフトウェア供給網そのものへの書き込み権限に等しい。** 権限昇格が成立すると、他のチームのリポジトリへ成果物を置いたり、既存の成果物を差し替えたりする経路が開く。CVSS が S:U（スコープ変化なし）でありながら C:H/I:H と評価されているのは、Artifactory の中だけで完結する影響でも、そこに置かれるものの性質上、機密性と完全性の両方が高く損なわれると見られているためである。 CISA は 2026年9月11日に、同じ Artifactory の **CVE-2026-42018** と合わせて本件を KEV へ収載し、是正期限を 2026年9月25日に設定した。NVD の参照には Wiz による実地の悪用観測の記録が、この2件を並べる形で挙がっている。**2件が同時に KEV へ載っているので、片方だけを塞いで終わりにしないこと。**
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 対象外 |
該当しない。Artifactory は JFrog の製品で、AWS のマネージドサービスとしては提供されていない
AWS 上（EC2 / EKS など）に自己ホスト版を置いている構成は、下の『Linux / 自前環境』と同じ扱いになる。AWS 個別のセキュリティ速報は 2026-09-13 時点で確認できていない。
参照リンク
|
| GCP | 対象外 |
該当しない。GCP のマネージドサービスとしては提供されていない
GCP 上に自己ホスト版を置いている構成は『Linux / 自前環境』と同じ扱いになる。GCP 個別のセキュリティ速報は 2026-09-13 時点で確認できていない。
参照リンク
|
| Azure | 対象外 |
該当しない。Azure のマネージドサービスとしては提供されていない
Azure 上に自己ホスト版を置いている構成は『Linux / 自前環境』と同じ扱いになる。Azure 個別のセキュリティ速報は 2026-09-13 時点で確認できていない。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
Artifactory を 7.133.11 以降へ更新する。同時に KEV へ収載された CVE-2026-42018 も対象になるため、**両方を満たす版**（下の CVE-2026-42018 の系列別の版数を参照）を選ぶこと
Artifactory は JFrog が配布する製品であり、ディストリのパッケージ更新では上がらない。Ubuntu USN / Red Hat RHSA / Debian security tracker に本 CVE の項目は期待できず、2026-09-13 時点でも確認できていない。Docker / Helm で動かしている場合はイメージのタグを上げる。
参照リンク
|
**7.133.11 以降へ上げる。** NVD の該当範囲は「7.133.11 未満」の一区間だけで、後述の CVE-2026-42018 のように系列ごとに分かれてはいない。自己ホスト版のリリース情報（JFrog の Artifactory Self-Managed Releases）で、自分が使っている系列に 7.133.11 以降の版があることを確認して上げる。 **対象は自己ホスト版である。** NVD の記述は「JFrog Artifactory (Self Hosted) versions before 7.133.11」と明示しており、SaaS 版については触れていない。SaaS 版を使っている場合の更新状況は JFrog のセキュリティアドバイザリ一覧で確認すること（当サイトからは JavaScript 描画のため 2026-09-13 時点で本文を取得できていない）。 **更新までの間に絞るべきは、トークンの配り方である。** 欠陥はトークンのスコープが検証されないことなので、悪用の前提は「何らかの有効なトークンを持っていること」（CVSS の PR:L）になる。更新前に見るなら、発行済みのアクセストークンの棚卸し（不要なものの失効）、匿名アクセスの無効化、外部へ露出している Artifactory の到達範囲の確認、が現実的な手当てになる。ただしこれらは悪用の敷居を上げるだけで、**欠陥そのものは版を上げるまで残る。** **KEV に載っている以上、更新後は侵害調査を行う。** 見るべきは、リポジトリへの書き込み記録に身に覚えのない主体が無いか、成果物の差し替え（同じ座標で内容が変わったもの）が無いか、権限やパーミッションターゲットの設定に覚えの無い変更が無いか、である。Artifactory は下流のビルドが引く先なので、**汚染された成果物が既に配られていないか**まで遡って確認する。
High（CVSS 8.8）に分類されるJFrog JFrog Artifactory（Self Hosted / 自己ホスト版）。NVD の該当範囲は 7.133.11 未満の脆弱性です。JFrog Artifactory の自己ホスト版 7.133.11 より前の版に、**トークンの検証が署名と発行者しか見ておらず、そのトークンに与えられたスコープ（権限の範囲）を見ていない**という欠陥がある。結果として、正規に発行された低い権限のトークンを持つ利用者が、そのトークンで本来届かないはずの操作に到達できる。NVD の主評価（nvd@nist.gov）は CVSS 3.1 で **8.8**（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）、JFrog 自身の評価は 8.1（可用性への影響を A:N と見る点が異なる）である。 **Artifactory はビルド成果物とコンテナイメージの保管庫であり、そこへの書き込み権限はソフトウェア供給網そのものへの書き込み権限に等しい。** 権限昇格が成立すると、他のチームのリポジトリへ成果物を置いたり、既存の成果物を差し替えたりする経路が開く。CVSS が S:U（スコープ変化なし）でありながら C:H/I:H と評価されているのは、Artifactory の中だけで完結する影響でも、そこに置かれるものの性質上、機密性と完全性の両方が高く損なわれると見られているためである。 CISA は 2026年9月11日に、同じ Artifactory の **CVE-2026-42018** と合わせて本件を KEV へ収載し、是正期限を 2026年9月25日に設定した。NVD の参照には Wiz による実地の悪用観測の記録が、この2件を並べる形で挙がっている。**2件が同時に KEV へ載っているので、片方だけを塞いで終わりにしないこと。**
**7.133.11 以降へ上げる。** NVD の該当範囲は「7.133.11 未満」の一区間だけで、後述の CVE-2026-42018 のように系列ごとに分かれてはいない。自己ホスト版のリリース情報（JFrog の Artifactory Self-Managed Releases）で、自分が使っている系列に 7.133.11 以降の版があることを確認して上げる。 **対象は自己ホスト版である。** NVD の記述は「JFrog Artifactory (Self Hosted) versions before 7.133.11」と明示しており、SaaS 版については触れていない。SaaS 版を使っている場合の更新状況は JFrog のセキュリティアドバイザリ一覧で確認すること（当サイトからは JavaScript 描画のため 2026-09-13 時点で本文を取得できていない）。 **更新までの間に絞るべきは、トークンの配り方である。** 欠陥はトークンのスコープが検証されないことなので、悪用の前提は「何らかの有効なトークンを持っていること」（CVSS の PR:L）になる。更新前に見るなら、発行済みのアクセストークンの棚卸し（不要なものの失効）、匿名アクセスの無効化、外部へ露出している Artifactory の到達範囲の確認、が現実的な手当てになる。ただしこれらは悪用の敷居を上げるだけで、**欠陥そのものは版を上げるまで残る。** **KEV に載っている以上、更新後は侵害調査を行う。** 見るべきは、リポジトリへの書き込み記録に身に覚えのない主体が無いか、成果物の差し替え（同じ座標で内容が変わったもの）が無いか、権限やパーミッションターゲットの設定に覚えの無い変更が無いか、である。Artifactory は下流のビルドが引く先なので、**汚染された成果物が既に配られていないか**まで遡って確認する。
JFrog JFrog Artifactory（Self Hosted / 自己ホスト版）。NVD の該当範囲は 7.133.11 未満 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-42016）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/25 です。早急な対応が推奨されます。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/09/13）。