JFrog Artifactoryの脆弱性 CVE-2026-82329、認証なしで管理者権限取得のおそれ　実悪用報告、Self-Hostedは更新を

JFrogは2026年8月28日、JFrog Artifactoryに存在する重大な認証バイパス　脆弱性　CVE-2026-82329を公表しました。

JFrogによると、デフォルト構成のArtifactoryでは、ネットワークアクセス可能な未認証の攻撃者が管理者権限を取得できる可能性があります。CVE-2026-82329はCWE-287（Improper Authentication）に分類され、CVSS v3.1の基本値は9.8（Critical）です。

JFrog Cloud環境については、影響を受ける環境にすでに対策が適用されており、利用者側の対応は不要とされています。一方、Self-Hosted環境では、利用中のリリース系列に応じて7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20のいずれかの修正版へ更新する必要があります。

さらに9月1日、露出管理企業watchTowrがCVE-2026-82329の実悪用を観測したと報告しました。SecurityWeekによると、攻撃者が管理者トークンを生成する動きが確認されたとされています。ただし、現時点でJFrog自身は実悪用を公式確認しておらず、CISAのKnown Exploited Vulnerabilities（KEV）カタログにもCVE-2026-82329は掲載されていません。

CVE-2026-82329のサマリー

• JFrogは2026年8月28日、Artifactoryの重大な認証バイパス脆弱性CVE-2026-82329を公表しました。
• 脆弱性はCWE-287「Improper Authentication」に分類されています。
• CVSS v3.1は9.8（Critical）です。
• デフォルト構成では、ネットワークアクセス可能な未認証攻撃者が管理者権限を取得できる可能性があります。
• ユーザー操作は不要です。
• JFrog Cloud環境はすでに対策済みで、利用者側の対応は不要とされています。
• Self-Hosted環境は、各リリース系列の修正版へ更新する必要があります。
• 修正版は7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20です。
• watchTowrは9月1日、CVE-2026-82329の実悪用を観測したと報告しています。
• SecurityWeekは、watchTowrの観測として攻撃者が管理者トークンを生成していたと報じています。
• JFrogによる実悪用の公式確認は現時点で確認できませんでした。
• CISA KEVには2026年9月1日時点で未掲載です。
• JFrog公式は具体的な脆弱なエンドポイントや完全な悪用手順を公開していません。
• 公開PoCについては情報が錯綜しており、信頼できる公開手順の有無は現時点で断定を避けるべき状況です。

項目	内容
CVE	CVE-2026-82329
製品	JFrog Artifactory
公表日	2026年8月28日
深刻度	Critical
CVSS v3.1	9.8
CWE	CWE-287 Improper Authentication
攻撃条件	ネットワークアクセス可能、認証不要、ユーザー操作不要
影響	管理者権限取得のおそれ
Cloud	JFrog側で対策済み、利用者対応不要
Self-Hosted	修正版への更新が必要
修正版	7.111.21 / 7.117.28 / 7.125.20 / 7.133.29 / 7.146.38 / 7.161.20
実悪用	watchTowrが観測を報告
JFrogによる実悪用確認	確認できませんでした
CISA KEV	2026年9月1日時点で未掲載
PoC	公開情報が錯綜しており、検証済み公開PoCの有無は断定せず
暫定回避策	JFrogは本脆弱性についてアップグレードを正式な対策として案内

認証なしで管理者権限を取得できる可能性

JFrogの公式アドバイザリによると、CVE-2026-82329はArtifactoryの認証処理に存在する脆弱性です。

デフォルト構成において、ネットワークからArtifactoryへ到達できる未認証の攻撃者が、管理者権限を取得できる可能性があります。

CVEレコードでは、CVSS v3.1のベクターは以下のとおりです。

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

これは、ネットワーク経由で攻撃可能、攻撃難易度は低い、事前権限不要、ユーザー操作不要で、機密性・完全性・可用性への影響がいずれもHighと評価されていることを意味します。

一方、JFrogは現時点で、どのAPIや認証フローが脆弱なのか、どのようなリクエストによって認証が回避されるのかといった詳細な技術情報は公開していません。

そのため、JWT、セッションクッキー、APIキー、SAML、OIDCなど特定の認証方式が原因だと断定することはできません。

影響バージョンと修正版

CVEレコードとJFrog公式アドバイザリから確認できる影響範囲は以下のとおりです。

影響バージョン	修正版
7.111.21未満	7.111.21
7.117.0以上 7.117.28未満	7.117.28
7.125.0以上 7.125.20未満	7.125.20
7.133.0以上 7.133.29未満	7.133.29
7.146.0以上 7.146.38未満	7.146.38
7.161.0以上 7.161.20未満	7.161.20

JFrog公式アドバイザリの一覧表には一部表記上の揺れがありますが、CVEレコードでは「修正版未満」が影響対象として整理されています。

Self-Hosted環境では、自社が利用しているリリース系列に対応する修正版へ速やかに更新する必要があります。

JFrog Cloudはすでに対策済み

JFrogは、影響を受けるCloud環境についてすでにセキュリティ対策を適用済みであり、Cloud利用者側で追加対応は不要としています。

今回の緊急対応対象は主にSelf-Hosted環境です。

Artifactoryをオンプレミスや自社管理クラウド上で運用している組織では、現在のバージョンを確認し、修正版未満であればアップデートを優先する必要があります。

watchTowrが実悪用を報告

9月1日、watchTowrはCVE-2026-82329について実際の攻撃での悪用を観測したと報告しました。

SecurityWeekによると、watchTowrは攻撃者が自身に管理者トークンを発行する動きを確認したとしています。

公開から数日で悪用が報告されたことになります。

ただし、実悪用については現時点でwatchTowrの観測が主な根拠であり、JFrog自身による公式確認は確認できませんでした。

SecurityWeekもJFrogへ実悪用の確認を求めているとしており、記事掲載時点ではJFrogからの回答は得られていません。

したがって、「CVE-2026-82329が実際の攻撃で悪用されている」と断定する場合は、watchTowrの観測に基づく情報であることを明示する必要があります。

CISA KEVには現時点で未掲載

2026年9月1日時点で、CVE-2026-82329はCISAのKnown Exploited Vulnerabilities（KEV）カタログには掲載されていません。

KEV未掲載であることは、悪用されていないことを意味しません。

CISA KEVは、CISAが所定の基準に基づき実悪用を確認した脆弱性を掲載するカタログであり、外部セキュリティ企業が悪用を報告してから掲載まで時間差が生じる場合があります。

今回のように、認証不要で管理者権限取得につながるCritical脆弱性であり、第三者から実悪用報告も出ている場合、KEV掲載の有無だけで対応優先度を下げるべきではありません。

PoC公開状況は慎重に判断

CVE-2026-82329については、9月1日時点でPoC公開を示す外部情報も出始めています。

一方で、JFrog公式やGitHub Advisory Databaseには具体的な悪用コードや再現手順は掲載されていません。

また、一部のセキュリティ情報サイトは「公開PoCなし」とする一方、別の情報源ではGitHub上にPoCまたはスキャナが出現したとしています。

このため、本記事では「検証済みの公開PoCが存在する」と断定しません。

少なくとも、実悪用の報告が出ている以上、PoCの有無にかかわらずSelf-Hosted環境は緊急度の高い対応対象です。

Artifactory侵害がソフトウェア供給網に与える影響

Artifactoryは、ソフトウェアパッケージ、バイナリ、コンテナイメージ、ライブラリ、AIモデルなどの成果物を保存・配布するアーティファクトリポジトリです。

開発環境やCI/CDパイプラインでは、Artifactoryに格納された成果物をビルドやデプロイで利用する構成が一般的です。

そのため、Artifactoryの管理者権限を第三者に取得された場合、単にリポジトリ内の情報を閲覧されるだけでなく、保存された成果物やリポジトリ設定の改変などにつながる可能性があります。

実際に今回の攻撃で成果物改ざんやソフトウェアサプライチェーン侵害が確認されたとの情報はありません。

ただし、Artifactoryが開発・配布基盤の信頼点になっている組織では、管理者権限の侵害は下流のビルド・デプロイ環境へ波及するリスクを持ちます。

パッチ適用後も管理者権限の不審な利用を確認

watchTowrが報告した実悪用が正しい場合、脆弱な環境では攻撃者が管理者権限を取得していた可能性があります。

そのため、単に修正版へ更新するだけでなく、インターネットから到達可能だったSelf-Hosted Artifactoryでは侵害有無の確認も必要です。

確認対象としては、

• 不審な管理者ユーザーや権限変更
• 身に覚えのないアクセストークンや資格情報
• リポジトリ権限や設定の変更
• 不審なリモートリポジトリ設定
• 成果物の追加・差し替え・削除
• CI/CD用認証情報やシークレットへの不審なアクセス
• 通常と異なるIPアドレスからの管理操作
• 大量のデータ取得や設定エクスポート

などが挙げられます。

ただし、JFrogはCVE-2026-82329固有のIOCを現時点で公開していません。そのため、一般的な管理ログ・監査ログ・アクセスログの異常確認が中心となります。

情報システム・開発基盤担当への示唆

CVE-2026-82329は、単なるWebアプリケーションの脆弱性として扱うべきではありません。

ArtifactoryはCI/CDやソフトウェア配布の中核に置かれることが多く、管理者権限が侵害されると、開発者、ビルドサーバー、本番環境が信頼するアーティファクトそのものへ影響が及ぶ可能性があります。

Self-Hosted Artifactoryを利用する組織では、まずバージョンを確認し、修正版未満であれば直ちにアップデートする必要があります。

加えて、インターネットからアクセス可能だった環境では、パッチ適用前の期間に不正な管理操作が行われていないかを確認する必要があります。

特にArtifactoryにCI/CD用トークン、リポジトリ認証情報、署名関連情報などが連携されている場合、侵害が疑われる環境ではそれらのローテーションも検討対象になります。

また、Artifactory管理インターフェースをインターネットへ直接公開する必要性そのものを見直し、VPNやゼロトラストアクセス、アクセス元制限などによって管理面への到達範囲を限定することも重要です。

今回の脆弱性は、公開から数日で実悪用が報告されています。脆弱性管理では、CVSSやKEV掲載だけでなく、「認証不要」「管理者権限取得」「ソフトウェア供給網の中核」という業務上の影響を踏まえて優先順位を判断する必要があります。

出典

• JFrog Security Advisories – JFrog
• CVE-2026-82329 – CVE Program
• NVD – CVE-2026-82329 – NIST
• Known Exploited Vulnerabilities Catalog – CISA