情報取得日: 2026/09/11／最終確認: 2026/09/13・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-42018 |
|---|---|
| 製品 | JFrog / JFrog Artifactory。NVD の該当範囲は系列ごとに分かれる（7.111.20 未満 / 7.117.0〜7.117.27 未満 / 7.125.0〜7.125.19 未満 / 7.133.0〜7.133.28 未満 / 7.146.0〜7.146.8 未満） |
| CVSS | 7.5（High） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| 種別 (CWE) | CWE-287 不適切な認証 |
| 登録／公開日 | 2026/09/11 |
| KEV 期限 | 2026/09/25 まで（米国連邦機関向け目安） |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-42018 |
JFrog Artifactory が、**匿名アクセスを無効にしている構成でも、内部の匿名利用者トークンを未認証の呼び出し元へ返してしまう**ことがある。返されたトークンで、本来は認証が要るはずの資源に到達されうる。CVSS 3.1 基本値は JFrog の評価で **7.5**（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）で、事前の権限も利用者操作も要らず、影響は機密性に限られるという評価である。 **この欠陥がやっかいなのは、対策として正しいはずの設定を無効化してしまう点にある。** 匿名アクセスを切るのは Artifactory を外に置くときの基本的な手当てで、管理者はそれを「認証が必須になった」と理解して運用する。ところが本件では、その設定を入れた環境でも、未認証の呼び出しに対して内部の匿名利用者のトークンが返る経路が残っている。**設定画面を見ても塞がっているように見えるので、版を上げる以外に気づく手立てが無い。** 前述の CVE-2026-42016（権限昇格）と組み合わせると、未認証の到達（本件）と、手に入れたトークンでの権限昇格（42016）が繋がる形になる。CISA が 2026年9月11日に**2件を同じ日に KEV へ収載し、同じ 2026年9月25日を是正期限にした**のは、この繋がりを前提にしていると読める。NVD の参照に挙がっている Wiz の観測記録も、この2件を並べて扱っている。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 対象外 |
該当しない。Artifactory は JFrog の製品で、AWS のマネージドサービスとしては提供されていない
AWS 上（EC2 / EKS など）に置いている構成は、下の『Linux / 自前環境』と同じ扱いになる。AWS 個別のセキュリティ速報は 2026-09-13 時点で確認できていない。
参照リンク
|
| GCP | 対象外 |
該当しない。GCP のマネージドサービスとしては提供されていない
GCP 上に置いている構成は『Linux / 自前環境』と同じ扱いになる。GCP 個別のセキュリティ速報は 2026-09-13 時点で確認できていない。
参照リンク
|
| Azure | 対象外 |
該当しない。Azure のマネージドサービスとしては提供されていない
Azure 上に置いている構成は『Linux / 自前環境』と同じ扱いになる。Azure 個別のセキュリティ速報は 2026-09-13 時点で確認できていない。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
使っている系列に応じて 7.111.20 / 7.117.27 / 7.125.19 / 7.133.28 / 7.146.8 以降へ更新する。**同時に KEV 収載された CVE-2026-42016（7.133.11 未満が該当）も塞ぐなら、7.133.28 以降または 7.146.8 以降を選ぶ**
Artifactory は JFrog が配布する製品であり、ディストリのパッケージ更新では上がらない。Ubuntu USN / Red Hat RHSA / Debian security tracker に本 CVE の項目は期待できず、2026-09-13 時点でも確認できていない。Docker / Helm で動かしている場合はイメージのタグを上げる。
参照リンク
|
**自分が使っている系列に対応する版へ上げる。本件は 42016 と違って、該当範囲が系列ごとに分かれている。** NVD の該当範囲から読める修正版は次のとおりで、**この一覧に無い古い系列（7.111 系より前）は 7.111.20 以降へ上げる**ことになる。 - 7.111 系 … **7.111.20 以降** - 7.117 系 … **7.117.27 以降** - 7.125 系 … **7.125.19 以降** - 7.133 系 … **7.133.28 以降** - 7.146 系 … **7.146.8 以降** **CVE-2026-42016 と同時に塞ぐこと。** 42016 の修正版は 7.133.11 以降だが、本件で 7.133 系に必要なのは 7.133.28 以降なので、**7.133 系を使っているなら 7.133.28 以降を選べば両方を満たす**。7.111 / 7.117 / 7.125 系は 42016 の「7.133.11 未満が該当」に丸ごと入るため、本件の修正版へ上げるだけでは 42016 が残る。**その3系列を使っている環境は、7.133.28 以降（または 7.146.8 以降）への移行が必要になる。** **更新までの間、匿名アクセスを切っていることを対策と数えない。** 本件はまさにその設定が効かない経路なので、「匿名アクセスは無効だから大丈夫」という判断が成り立たない。現実的な手当ては、Artifactory をインターネットから直接到達できない位置に置く（送信元 IP の制限、逆プロキシでの認証の前置き）ことである。 **更新後は、未認証で読まれた形跡を探す。** 影響は機密性に寄っている（I:N/A:N）ので、見るべきは書き込みよりも読み取りの記録になる。アクセスログに認証を伴わない資源の取得が無いか、匿名利用者として記録された参照に不自然な量や範囲が無いか、を確認する。あわせて 42016 の側の調査（書き込み・差し替えの確認）も行うこと。
High（CVSS 7.5）に分類されるJFrog JFrog Artifactory。NVD の該当範囲は系列ごとに分かれる（7.111.20 未満 / 7.117.0〜7.117.27 未満 / 7.125.0〜7.125.19 未満 / 7.133.0〜7.133.28 未満 / 7.146.0〜7.146.8 未満）の脆弱性です。JFrog Artifactory が、**匿名アクセスを無効にしている構成でも、内部の匿名利用者トークンを未認証の呼び出し元へ返してしまう**ことがある。返されたトークンで、本来は認証が要るはずの資源に到達されうる。CVSS 3.1 基本値は JFrog の評価で **7.5**（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）で、事前の権限も利用者操作も要らず、影響は機密性に限られるという評価である。 **この欠陥がやっかいなのは、対策として正しいはずの設定を無効化してしまう点にある。** 匿名アクセスを切るのは Artifactory を外に置くときの基本的な手当てで、管理者はそれを「認証が必須になった」と理解して運用する。ところが本件では、その設定を入れた環境でも、未認証の呼び出しに対して内部の匿名利用者のトークンが返る経路が残っている。**設定画面を見ても塞がっているように見えるので、版を上げる以外に気づく手立てが無い。** 前述の CVE-2026-42016（権限昇格）と組み合わせると、未認証の到達（本件）と、手に入れたトークンでの権限昇格（42016）が繋がる形になる。CISA が 2026年9月11日に**2件を同じ日に KEV へ収載し、同じ 2026年9月25日を是正期限にした**のは、この繋がりを前提にしていると読める。NVD の参照に挙がっている Wiz の観測記録も、この2件を並べて扱っている。
**自分が使っている系列に対応する版へ上げる。本件は 42016 と違って、該当範囲が系列ごとに分かれている。** NVD の該当範囲から読める修正版は次のとおりで、**この一覧に無い古い系列（7.111 系より前）は 7.111.20 以降へ上げる**ことになる。 - 7.111 系 … **7.111.20 以降** - 7.117 系 … **7.117.27 以降** - 7.125 系 … **7.125.19 以降** - 7.133 系 … **7.133.28 以降** - 7.146 系 … **7.146.8 以降** **CVE-2026-42016 と同時に塞ぐこと。** 42016 の修正版は 7.133.11 以降だが、本件で 7.133 系に必要なのは 7.133.28 以降なので、**7.133 系を使っているなら 7.133.28 以降を選べば両方を満たす**。7.111 / 7.117 / 7.125 系は 42016 の「7.133.11 未満が該当」に丸ごと入るため、本件の修正版へ上げるだけでは 42016 が残る。**その3系列を使っている環境は、7.133.28 以降（または 7.146.8 以降）への移行が必要になる。** **更新までの間、匿名アクセスを切っていることを対策と数えない。** 本件はまさにその設定が効かない経路なので、「匿名アクセスは無効だから大丈夫」という判断が成り立たない。現実的な手当ては、Artifactory をインターネットから直接到達できない位置に置く（送信元 IP の制限、逆プロキシでの認証の前置き）ことである。 **更新後は、未認証で読まれた形跡を探す。** 影響は機密性に寄っている（I:N/A:N）ので、見るべきは書き込みよりも読み取りの記録になる。アクセスログに認証を伴わない資源の取得が無いか、匿名利用者として記録された参照に不自然な量や範囲が無いか、を確認する。あわせて 42016 の側の調査（書き込み・差し替えの確認）も行うこと。
JFrog JFrog Artifactory。NVD の該当範囲は系列ごとに分かれる（7.111.20 未満 / 7.117.0〜7.117.27 未満 / 7.125.0〜7.125.19 未満 / 7.133.0〜7.133.28 未満 / 7.146.0〜7.146.8 未満） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-42018）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/25 です。早急な対応が推奨されます。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/09/13）。