JFrog Artifactory の CVE-2026-42016・CVE-2026-42018: トークンのスコープ検証不備と匿名トークンの返却、CISA KEV に 2 件とも掲載

JFrog Artifactory（自社運用版）に、トークンまわりの認可・認証の不備が 2 件見つかり、CISA は 2 件とも 2026-09-11 に既知の悪用がある脆弱性（KEV）として追加しました（対応期限 2026-09-25）。CVE-2026-42016 は、トークンの署名と発行元だけを確認してスコープ（権限の範囲）を確認しないため、低い権限から権限昇格される問題です。CVE-2026-42018 は、匿名アクセスを無効にしていても、認証なしの呼び出しに内部の匿名ユーザー用トークンが返りうる問題です。いずれも CVSS v3.1 は 9 未満のため、本サイトでは high としています。

概要

項目	CVE-2026-42016	CVE-2026-42018
問題	トークンの署名・発行元だけを検証し、スコープを検証しない（CWE-863 認可の誤り）	匿名アクセス無効時にも、内部の匿名ユーザー用トークンが認証なしの呼び出しに返りうる（CWE-287 不適切な認証）
攻撃条件	ネットワーク経由。低い権限が必要（PR:L）。ユーザー操作は不要	ネットワーク経由。認証不要（PR:N）。ユーザー操作は不要
結果	権限昇格（機密性・完全性・可用性への高い影響）	機密情報を含むリソースが見えうる（機密性への高い影響）
悪用状況	CISA KEV に 2026-09-11 追加。攻撃の手口・規模は未確認	CISA KEV に 2026-09-11 追加。攻撃の手口・規模は未確認

影響範囲

• CVE-2026-42016: Artifactory（自社運用版）7.133.11 より前の版が対象です（NVD の範囲）。
• CVE-2026-42018: NVD の範囲は 7.111.20 未満、7.117.0 以上 7.117.27 未満、7.125.0 以上 7.125.19 未満、7.133.0 以上 7.133.28 未満、7.146.0 以上 7.146.8 未満です。
• クラウド版の扱い、2 件を組み合わせた攻撃が成立するかは未確認です。

対策

• JFrog のセキュリティ情報とリリースノートに従い、利用中の系統の修正版へ更新する。
• CISA は KEV の対応として、ベンダーの手順に沿った緩和を求めている。緩和策が用意できない場合は、製品の利用中止を検討する。
• 更新の前後で、想定外のトークン発行・利用、匿名ユーザーとしてのアクセス、権限の変更がないかをログで点検する。
• インターネットから Artifactory に直接届く構成の場合は、公開範囲を見直す。

数値と出典（2026-11-03 時点）

項目	CVE-2026-42016	CVE-2026-42018
NVD の状態	Analyzed（2026-07-27 公開）	Analyzed（2026-08-12 公開）
CVSS v3.1	8.8（NVD。AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）。JFrog 評価は 8.1	7.5（JFrog による。AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）
EPSS	0.0864（パーセンタイル 0.951、2026-11-02 時点）	0.0981（パーセンタイル 0.955、2026-11-02 時点）
KEV	2026-09-11 追加、期限 2026-09-25	2026-09-11 追加、期限 2026-09-25
ランサムウェア利用	不明（CISA）	不明（CISA）
CISA SSVC	—	悪用: active、自動化可能: yes、技術的影響: partial
出典	NVD、CISA KEV、JFrog セキュリティ情報、FIRST	同左

未確認の点

• 各系統の修正版の正確な番号と、回避策の有無。
• 攻撃の標的・規模・手口、2 件を連鎖させた悪用の有無、ランサムウェアでの利用。
• クラウド版（SaaS）への影響の有無。