情報取得日: 2026/09/02・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-82329 |
|---|---|
| 製品 | JFrog / JFrog Artifactory 自己管理版。NVD の該当範囲は 7.111.4〜7.111.20 / 7.117.0〜7.117.27 / 7.125.0〜7.125.19 / 7.133.0〜7.133.28 / 7.146.0〜7.146.37 / 7.161.0〜7.161.19 |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-287 不適切な認証 |
| 登録／公開日 | 2026/09/02 |
| KEV 期限 | 2026/09/05 まで（米国連邦機関向け目安） |
| 出典 | https://docs.jfrog.com/releases/docs/jfrog-security-advisories |
JFrog Artifactory に認証の不備があり、**既定の構成のまま**であれば、ネットワークから到達できる認証されていない攻撃者が管理者権限を取得できる。NVD の説明は「JFrog Artifactory には認証の弱点があり、既定構成下でネットワークアクセスを持つ未認証の攻撃者が管理者権限を得られる可能性がある」というもので、CWE-287（不適切な認証）に分類されている。CVSS 3.1 基本値は JFrog 自身の評価で 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）であり、事前の権限も利用者操作も不要という最も条件の緩い形になっている。Artifactory はビルド成果物・コンテナイメージ・各種パッケージを置く社内リポジトリとして使われることが多い。ここの管理者権限が渡るということは、保管しているアーティファクトを差し替えられるということであり、そこから配布される先すべてに影響が広がる。つまり単体のサーバ侵害では終わらず、社内の配布経路そのものが汚染されうる性質の欠陥である。CISA は 2026年9月2日に KEV へ収載しており、実際の悪用が確認されている。是正期限は 2026年9月5日と、収載からわずか3日という短さで設定されている。該当バージョン範囲が6本の系列に分かれているのは、JFrog がサポート中の複数のパッチラインへ個別に修正を入れているためで、自分が使っている系列に対応する修正版を選ぶ必要がある。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 / EKS / ECS 上で動かしている Artifactory を、使用中の系列に対応する修正版（7.111.21 / 7.117.28 / 7.125.20 / 7.133.29 / 7.146.38 / 7.161.20 以降）へ更新する。Helm チャートやコンテナイメージのタグも合わせて更新する
AWS はマネージドの Artifactory を提供しておらず、本 CVE に対する AWS 個別のセキュリティ速報は 2026-09-05 時点で確認できていない。ALB のリスナールールやセキュリティグループで管理画面・API の到達範囲を絞るのは更新までの緩和として有効だが、未認証で管理者権限が取れる欠陥なので到達できる範囲からは依然として悪用可能である。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
GKE / Compute Engine 上の Artifactory を、使用中の系列に対応する修正版へ更新する
本 CVE に対する GCP 個別のセキュリティ速報は 2026-09-05 時点で確認できていない。Artifactory に紐づくサービスアカウントの権限がそのまま攻撃者の手に渡るため、更新と併せて付与権限の棚卸しを行う。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
AKS / VM 上の Artifactory を、使用中の系列に対応する修正版へ更新する
本 CVE に対する Azure 個別のセキュリティ速報は 2026-09-05 時点で確認できていない。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
JFrog 公式の rpm / deb またはコンテナイメージで導入しているため、ディストリのパッケージ更新では上がらない。まず実行中のバージョンを確認し、同じ系列の修正版のパッケージ／イメージへ入れ替えてサービスを再起動する
Ubuntu USN / Red Hat RHSA / Debian security tracker に本 CVE の項目は期待できず、2026-09-05 時点でも確認できていない。ディストリのパッケージ管理の外にあるため、脆弱性スキャンの対象から漏れやすい点に注意する。
参照リンク
|
**該当する系列の修正版へ上げることが唯一の恒久対応である。** NVD の該当範囲から読める修正版は、7.111 系なら 7.111.21 以降、7.117 系なら 7.117.28 以降、7.125 系なら 7.125.20 以降、7.133 系なら 7.133.29 以降、7.146 系なら 7.146.38 以降、7.161 系なら 7.161.20 以降である。まず管理画面またはヘルスチェック API で実際に動いているバージョンを確認し、同じ系列の修正版へ上げる。系列を飛び越えて最新へ上げる場合はデータベーススキーマの移行が入るため、JFrog のアップグレード手順に従うこと。**KEV の是正期限は 2026年9月5日で既に迫っているか過ぎている**ため、更新を待つ間の緩和として、Artifactory の管理画面と API をインターネットから直接到達できない位置へ移す（VPN・社内網・IP 制限つきのロードバランサの背後）ことを先に行う価値がある。ただしこれは到達経路を狭めるだけで、社内から到達できる攻撃者には効かない。更新後は、侵害の有無を確認する作業も必要である。管理者アカウントの一覧・アクセストークン・API キーに身に覚えのないものが増えていないか、リポジトリの権限設定が変わっていないか、直近のアーティファクトが差し替えられていないかを点検する。未認証で管理者権限が取れる欠陥では、更新前に既に足場を作られている可能性を前提に動くのが安全側である。**JFrog のクラウド版（SaaS）はベンダ側の管理下にある**が、その適用状況について 2026-09-05 時点で当サイトは一次情報を確認できていないため、SaaS 利用者は JFrog のセキュリティアドバイザリで自環境の扱いを確認すること。
Critical（CVSS 9.8）に分類されるJFrog JFrog Artifactory 自己管理版。NVD の該当範囲は 7.111.4〜7.111.20 / 7.117.0〜7.117.27 / 7.125.0〜7.125.19 / 7.133.0〜7.133.28 / 7.146.0〜7.146.37 / 7.161.0〜7.161.19の脆弱性です。JFrog Artifactory に認証の不備があり、**既定の構成のまま**であれば、ネットワークから到達できる認証されていない攻撃者が管理者権限を取得できる。NVD の説明は「JFrog Artifactory には認証の弱点があり、既定構成下でネットワークアクセスを持つ未認証の攻撃者が管理者権限を得られる可能性がある」というもので、CWE-287（不適切な認証）に分類されている。CVSS 3.1 基本値は JFrog 自身の評価で 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）であり、事前の権限も利用者操作も不要という最も条件の緩い形になっている。Artifactory はビルド成果物・コンテナイメージ・各種パッケージを置く社内リポジトリとして使われることが多い。ここの管理者権限が渡るということは、保管しているアーティファクトを差し替えられるということであり、そこから配布される先すべてに影響が広がる。つまり単体のサーバ侵害では終わらず、社内の配布経路そのものが汚染されうる性質の欠陥である。CISA は 2026年9月2日に KEV へ収載しており、実際の悪用が確認されている。是正期限は 2026年9月5日と、収載からわずか3日という短さで設定されている。該当バージョン範囲が6本の系列に分かれているのは、JFrog がサポート中の複数のパッチラインへ個別に修正を入れているためで、自分が使っている系列に対応する修正版を選ぶ必要がある。
**該当する系列の修正版へ上げることが唯一の恒久対応である。** NVD の該当範囲から読める修正版は、7.111 系なら 7.111.21 以降、7.117 系なら 7.117.28 以降、7.125 系なら 7.125.20 以降、7.133 系なら 7.133.29 以降、7.146 系なら 7.146.38 以降、7.161 系なら 7.161.20 以降である。まず管理画面またはヘルスチェック API で実際に動いているバージョンを確認し、同じ系列の修正版へ上げる。系列を飛び越えて最新へ上げる場合はデータベーススキーマの移行が入るため、JFrog のアップグレード手順に従うこと。**KEV の是正期限は 2026年9月5日で既に迫っているか過ぎている**ため、更新を待つ間の緩和として、Artifactory の管理画面と API をインターネットから直接到達できない位置へ移す（VPN・社内網・IP 制限つきのロードバランサの背後）ことを先に行う価値がある。ただしこれは到達経路を狭めるだけで、社内から到達できる攻撃者には効かない。更新後は、侵害の有無を確認する作業も必要である。管理者アカウントの一覧・アクセストークン・API キーに身に覚えのないものが増えていないか、リポジトリの権限設定が変わっていないか、直近のアーティファクトが差し替えられていないかを点検する。未認証で管理者権限が取れる欠陥では、更新前に既に足場を作られている可能性を前提に動くのが安全側である。**JFrog のクラウド版（SaaS）はベンダ側の管理下にある**が、その適用状況について 2026-09-05 時点で当サイトは一次情報を確認できていないため、SaaS 利用者は JFrog のセキュリティアドバイザリで自環境の扱いを確認すること。
JFrog JFrog Artifactory 自己管理版。NVD の該当範囲は 7.111.4〜7.111.20 / 7.117.0〜7.117.27 / 7.125.0〜7.125.19 / 7.133.0〜7.133.28 / 7.146.0〜7.146.37 / 7.161.0〜7.161.19 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://docs.jfrog.com/releases/docs/jfrog-security-advisories）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/05 です。早急な対応が推奨されます。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。