--- title: "JFrog Artifactory に認証なしで管理者権限を取得できる脆弱性（CVE-2026-82329）: CVSS 9.8、CISA KEV に追加済み" url: https://n-t-p.io/worldsecurity/articles/jfrog-artifactory-cve-2026-82329-unauth-admin-takeover-kev lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月3日 updated: 2026年11月3日 severity: 緊急 cve: CVE-2026-82329 --- # JFrog Artifactory に認証なしで管理者権限を取得できる脆弱性（CVE-2026-82329）: CVSS 9.8、CISA KEV に追加済み > **TL;DR:** JFrog Artifactory に、既定の設定で認証なしの攻撃者が管理者権限を取得できる認証の不備（CVE-2026-82329、CVSS v3.1 9.8）。CISA KEV に 2026-09-02 追加済み。修正版へ更新し、公開範囲を限定して侵害の有無を点検する。 **要点** - CVE-2026-82329: 既定の設定で、ネットワークに到達できる認証なしの攻撃者が管理者権限を取得できる（CWE-287） - CVSS v3.1 は 9.8（AV:N/AC:L/PR:N/UI:N、JFrog の評価）。NVD は Analyzed。7.x の 6 系統が対象 - CISA KEV に 2026-09-02 追加（期限 09-05）。EPSS 0.14（上位 4% 圏内） - 修正版へ更新し、公開範囲を限定して不審な管理者・トークンを点検する。攻撃手順・回避策は未確認 JFrog Artifactory（ソフトウェアのバイナリ・パッケージを管理するリポジトリ製品）に、既定の設定のままだと、ネットワークに到達できる認証なしの攻撃者が管理者権限を取得できる認証の不備（CVE-2026-82329）が公表されました。CISA は 2026-09-02 に KEV（悪用が確認された脆弱性）カタログへ追加しています。CVSS v3.1 は 9.8（AV:N/AC:L/PR:N/UI:N）で、評価は JFrog（CNA）によるものです。NVD は Analyzed ですが、NVD 自身のスコアはまだ付いていません。 ## 概要 | 項目 | 内容 | |---|---| | CVE | CVE-2026-82329 | | 問題 | 既定の設定で、認証なしの攻撃者が管理者権限を得られる認証の不備（CWE-287） | | 対象製品 | JFrog Artifactory（セルフマネージド）。NVD の構成情報では 7.111.4 以上 7.111.21 未満、7.117.0 以上 7.117.28 未満、7.125.0 以上 7.125.20 未満、7.133.0 以上 7.133.29 未満、7.146.0 以上 7.146.38 未満、7.161.0 以上 7.161.20 未満 | | 修正版 | 7.111.21、7.117.28、7.125.20、7.133.29、7.146.38、7.161.20（NVD の構成情報から読み取った境界。最新の対応は JFrog のセキュリティ勧告で確認） | | CVSS v3.1 | 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。JFrog の評価 | | NVD の状態 | Analyzed（NVD の独自スコアは未付与） | | CISA SSVC | 悪用: active、自動化: yes、技術的影響: total | | EPSS | 0.1437（パーセンタイル 0.966、2026-11-02 時点） | | CISA KEV | 2026-09-02 追加。対応期限 2026-09-05。ランサムウェアでの利用は「不明」 | ## なぜ重要か Artifactory は、自社で作るソフトウェアの成果物や、取り込んだ外部ライブラリを集約する基盤です。管理者権限を奪われると、保管された成果物の改ざん、リポジトリの設定変更、保存された認証情報の取得につながり、そこから配布されるソフトウェアの信頼性にも影響します。この脆弱性は認証が不要で、既定の設定で成立し、悪用が確認されています。インターネットや外部ネットワークから到達できる Artifactory は最優先で確認する必要があります。 ## 対策 - 自組織の Artifactory の版を確認し、上記の修正版以降（各系統の最新版）へ更新する。 - 更新までの間は、Artifactory をインターネットへ直接公開せず、VPN や許可した IP アドレスに限定する。 - KEV の対応期限（2026-09-05）はすでに過ぎている。CISA はフォレンジック調査（forensicTriage）を求めているため、更新前に未知の管理者アカウント、権限やトークンの不審な変更、リポジトリ内の想定外の成果物、外向きの通信がないかを確認する。 - 侵害の疑いがあれば、Artifactory に保存された認証情報・アクセストークン、連携する CI の鍵を更新し、配布済みの成果物の整合性を確かめる。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | NVD | Analyzed。CVSS v3.1 9.8（JFrog の評価） | | CWE | CWE-287 | | EPSS | 0.1437（FIRST、2026-11-02） | | KEV | 2026-09-02 追加、期限 2026-09-05 | | 出典 | NVD、JFrog セキュリティ勧告・リリースノート、CISA KEV、FIRST | ## 未確認の点 - 攻撃手順の詳細、悪用の規模、攻撃者、ランサムウェアでの利用の有無（KEV 上は「不明」）。 - 「既定の設定」に当たる条件の詳細、および設定の変更で回避できるかどうか。 - クラウド提供（SaaS）形態への影響と、各系統の最新の修正版（上の境界は NVD の構成情報からの読み取り）。 ## 出典 - [NVD CVE-2026-82329](https://nvd.nist.gov/vuln/detail/CVE-2026-82329) — NIST NVD - [JFrog セキュリティ勧告](https://docs.jfrog.com/releases/docs/jfrog-security-advisories) — JFrog - [JFrog Artifactory セルフマネージド リリースノート](https://docs.jfrog.com/releases/docs/artifactory-self-managed-releases) — JFrog - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-82329) — CISA - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-82329) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/jfrog-artifactory-cve-2026-82329-unauth-admin-takeover-kev