JFrog Artifactory に認証なしで管理者権限を取得できる脆弱性（CVE-2026-82329）: CVSS 9.8、CISA KEV に追加済み

JFrog Artifactory（ソフトウェアのバイナリ・パッケージを管理するリポジトリ製品）に、既定の設定のままだと、ネットワークに到達できる認証なしの攻撃者が管理者権限を取得できる認証の不備（CVE-2026-82329）が公表されました。CISA は 2026-09-02 に KEV（悪用が確認された脆弱性）カタログへ追加しています。CVSS v3.1 は 9.8（AV:N/AC:L/PR:N/UI:N）で、評価は JFrog（CNA）によるものです。NVD は Analyzed ですが、NVD 自身のスコアはまだ付いていません。

概要

項目	内容
CVE	CVE-2026-82329
問題	既定の設定で、認証なしの攻撃者が管理者権限を得られる認証の不備（CWE-287）
対象製品	JFrog Artifactory（セルフマネージド）。NVD の構成情報では 7.111.4 以上 7.111.21 未満、7.117.0 以上 7.117.28 未満、7.125.0 以上 7.125.20 未満、7.133.0 以上 7.133.29 未満、7.146.0 以上 7.146.38 未満、7.161.0 以上 7.161.20 未満
修正版	7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20（NVD の構成情報から読み取った境界。最新の対応は JFrog のセキュリティ勧告で確認）
CVSS v3.1	9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。JFrog の評価
NVD の状態	Analyzed（NVD の独自スコアは未付与）
CISA SSVC	悪用: active、自動化: yes、技術的影響: total
EPSS	0.1437（パーセンタイル 0.966、2026-11-02 時点）
CISA KEV	2026-09-02 追加。対応期限 2026-09-05。ランサムウェアでの利用は「不明」

なぜ重要か

Artifactory は、自社で作るソフトウェアの成果物や、取り込んだ外部ライブラリを集約する基盤です。管理者権限を奪われると、保管された成果物の改ざん、リポジトリの設定変更、保存された認証情報の取得につながり、そこから配布されるソフトウェアの信頼性にも影響します。この脆弱性は認証が不要で、既定の設定で成立し、悪用が確認されています。インターネットや外部ネットワークから到達できる Artifactory は最優先で確認する必要があります。

対策

• 自組織の Artifactory の版を確認し、上記の修正版以降（各系統の最新版）へ更新する。
• 更新までの間は、Artifactory をインターネットへ直接公開せず、VPN や許可した IP アドレスに限定する。
• KEV の対応期限（2026-09-05）はすでに過ぎている。CISA はフォレンジック調査（forensicTriage）を求めているため、更新前に未知の管理者アカウント、権限やトークンの不審な変更、リポジトリ内の想定外の成果物、外向きの通信がないかを確認する。
• 侵害の疑いがあれば、Artifactory に保存された認証情報・アクセストークン、連携する CI の鍵を更新し、配布済みの成果物の整合性を確かめる。

数値と出典（2026-11-03 時点）

項目	内容
NVD	Analyzed。CVSS v3.1 9.8（JFrog の評価）
CWE	CWE-287
EPSS	0.1437（FIRST、2026-11-02）
KEV	2026-09-02 追加、期限 2026-09-05
出典	NVD、JFrog セキュリティ勧告・リリースノート、CISA KEV、FIRST

未確認の点

• 攻撃手順の詳細、悪用の規模、攻撃者、ランサムウェアでの利用の有無（KEV 上は「不明」）。
• 「既定の設定」に当たる条件の詳細、および設定の変更で回避できるかどうか。
• クラウド提供（SaaS）形態への影響と、各系統の最新の修正版（上の境界は NVD の構成情報からの読み取り）。