• ひとことでJFrog Artifactoryで、ログインしていない相手に内部用の合言葉を渡してしまう弱点です。
  • 深刻度7.5 重要CVSS v3.1
  • まずやることArtifactoryのバージョンを確かめる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2026-42018
製品JFrog Artifactory
深刻度（CVSS）7.5 重要CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
KEVへの追加日2026-09-11
米国政府機関の対応期限2026-09-25
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-287（認証の不備）

何が起きた

JFrog Artifactory に、認証の扱いが不十分な弱点が見つかり、実際に悪用が確認されています。匿名でのアクセスを無効にしているのに、ログインしていない相手に、内部で使う匿名利用者用のトークンを返してしまうことがありました。その結果、大事な資源（ファイルなど）を見られるおそれがあります。ネットワーク経由で悪用できる条件です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. ログインしていない攻撃者が要求を送る → 2. 内部用の匿名利用者のトークンが返される → 3. 大事な資源を見られる1ログインしていない攻撃者が要求を送る2内部用の匿名利用者のトークンが返される3大事な資源を見られる攻撃の流れ: 1. ログインしていない攻撃者が要求を送る → 2. 内部用の匿名利用者のトークンが返される → 3. 大事な資源を見られる1ログインしていない攻撃者が要求を送る2内部用の匿名利用者のトークンが返される3大事な資源を見られる攻撃の流れ: 1. ログインしていない攻撃者が要求を送る → 2. 内部用の匿名利用者のトークンが返される → 3. 大事な資源を見られる1ログインしていない攻撃者が要求を送る2内部用の匿名利用者のトークンが返される3大事な資源を見られる

誰が影響を受ける

JFrog Artifactory で、7.111.20 より前、7.117 系の 7.117.27 より前、7.125 系の 7.125.19 より前、7.133 系の 7.133.28 より前、7.146 系の 7.146.8 より前を使い、匿名でのアクセスを無効にしている組織が影響を受けます。

何をすればいい

使っている系列に合わせて、7.111.20、7.117.27、7.125.19、7.133.28、7.146.8 以降に更新されているか確認してください。

やることチェックリスト

  • Artifactoryのバージョンを確かめる
  • 系列ごとの修正版（7.133.28など）以降に更新する
  • 匿名アクセスを無効にしているか確かめる

用語メモ

Artifactory
ソフトの部品や、作ったプログラムのファイルをまとめて保管・管理するための製品です。
トークン 用語集で見る
本人確認や手続きのために発行される、合言葉のような文字列のことです。

次に読む

同じ製品・メーカーの脆弱性JFrog Artifactory（CVE-2026-42016）8.8 重要CVSS v3.1JFrog Artifactoryで、トークンの使える範囲を確かめず権限を高められる弱点です。同じ製品・メーカーの脆弱性JFrog Artifactory（CVE-2026-82329）9.8 緊急CVSS v3.1JFrog Artifactoryで、初期設定のままだとログインせずに管理者の権限を奪われる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

JFrog Artifactory Improper Authentication Vulnerability

概要

JFrog Artifactory contains an improper authentication vulnerability that could return an internal anonymous-user token to an unauthenticated caller when anonymous access is disabled, potentially exposing sensitive resources.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

この元データの出どころ: CISA KEV カタログで見る