JFrog Artifactory の認証処理の不備で権限昇格（CVSS 8.8・NVD が 9.8 から改定）

High（CVSS 8.8）に分類されるJFrog Artifactory (Self-Managed)の脆弱性です。アーティファクトリポジトリ JFrog Artifactory の内部リクエスト処理に認証の取り扱いの弱点があり、特定の条件下で攻撃者が想定された権限の範囲を越えて権限昇格できる。JFrog の記述は概略のみで、内部リクエスト処理という以上に具体的な経路は公開されていない。影響範囲は CPE から読み取れる形で示されており、7.111.18 未満、7.117.0 以上 7.117.25 未満、7.125.0 以上 7.125.18 未満、7.133.0 以上 7.133.27 未満、7.146.0 以上 7.146.34 未満、7.161.0 以上 7.161.15 未満が対象で、それぞれの上限値が各系列の修正版に当たる。系列ごとに修正が出ているため、使っている系列の修正版以上へ上げる形の判断になる。対象は自己管理版（Self-Managed）で、参照として自己管理版のリリースノートと JFrog のセキュリティアドバイザリのページが挙がっている。**CVSS の割れは解消した（2026-09-21 の再点検で確認）。** 掲載当初は NVD（Primary）が 9.8 Critical（PR:N＝未認証）、CNA の JFrog が 8.8 High（PR:L＝何らかの認証済みアカウントが必要）で食い違っていた。**NVD は 2026-09-15 の更新で CNA 側の評価を採り、現在は 8.8 High（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）で一致している。** この変更が実務に与える影響は1点で、**成立には何らかの認証済みアカウントが要る**という前提が確定したことである。完全に未認証で踏まれる前提での緊急度からは一段下がるが、**Artifactory は配布物の供給源**なので、読み取り権限しかないアカウントが1つ漏れていれば条件は満たされる。社内に配っているアカウントの数を踏まえて判断する。 CISA KEV には未収載で是正期限の指定もない。NVD の公開日は 2026-07-27、vulnStatus は Analyzed。

判定は版の確認で足りる。Artifactory の版は管理 UI のフッターか、REST API の /api/system/version、あるいはインストールディレクトリのバージョン情報で確認でき、7.111.18 / 7.117.25 / 7.125.18 / 7.133.27 / 7.146.34 / 7.161.15 のうち自分の系列に対応する修正版より低ければ該当する。系列が枝分かれしているため、単純な大小比較ではなく系列内の比較で判断する必要がある点に注意する。見落としやすいのは、本番の隣に立てた検証用インスタンス、HA 構成のうち更新から漏れたノード、そして Kubernetes 上に Helm で入れたものでチャートの版だけ見て中身の版を確認していないケースである。すぐに更新できない場合の緩和策は経路を閉じる方向になる。Artifactory はビルドの成果物とコンテナイメージの供給源なので、権限昇格が成立すると配布物の差し替えに直結する。管理 UI と API をインターネットに直接公開しているならまず送信元を絞り、VPN や社内ネットワーク、あるいは認証プロキシの背後に置く。加えて匿名アクセス（Anonymous Access）が有効になっていないかを確認し、不要なら無効化する。管理者権限を持つアカウントとアクセストークンの棚卸しを行い、使っていないトークンを失効させておくと、昇格が起きた場合の追跡もしやすくなる。完了条件は、（1）全ノードが自分の系列の修正版以上になっていること、（2）管理系のエンドポイントが不要な範囲へ公開されていないこと、の2点である。KEV には未収載なので期限超過の扱いは発生しない。NVD が 2026-09-15 に評価を 8.8 High（PR:L）へ改め、**成立には認証済みアカウントが要ることが確定した**ため、掲載当初の「未認証での Critical」という前提は取り下げる。それでも対象が配布物の供給源であり、読み取り権限のアカウント1つで条件が満たされることを踏まえると、通常の更新サイクルを待たずに処理する価値はある。更新後は、意図しない管理者アカウントやトークンが増えていないか、リポジトリ内の成果物が想定外に置き換えられていないかを確認しておくとよい。

JFrog Artifactory (Self-Managed) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-66014）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。