報告されたArtifactory脆弱性の連鎖、自己管理サーバーでRust製バックドアを展開

匿名トークンから管理者権限へ

Wizは、2026年8月15日から9月8日にかけて、複数の攻撃者が自己管理型Artifactoryインスタンスに対しCVE-2026-42018とCVE-2026-42016を連鎖利用したと報告した。
同社によれば、攻撃者はコマンド・アンド・コントロール機能を持つカスタムRust製バックドアで永続性を確立し、事例によってはデータ窃取やWebシェルのアップロードなども行ったとされる。

今回の報告以前に、この2件の脆弱性を連鎖させて自己管理型Artifactoryのインスタンスが侵害されていたかどうかは、示された情報だけでは確認できない。

報告によると、攻撃者はCVE-2026-42018とCVE-2026-42016を連鎖させ、まず低権限の内部匿名ユーザー用JWT（JSON Web Token、認証用トークン）を取得し、次に管理者権限のトークンへ交換した。
この管理者アクセスを使い、アカウント作成、悪意あるGroovyプラグインの導入、持続的なアクセスのためのRust製バックドア配置を行ったとされる。

修正だけでは捉えきれない攻撃の流れ

報告された手順では、認証回避と不十分なトークン検証を組み合わせ、限定的なアクセスを管理者権限へ変換した後、プラグインと長期有効トークンでアクセスを維持する。
Wizは、到達可能なArtifactoryインスタンスの49%から62%が、挙げられた3件の脆弱性の少なくとも1件の影響を受けると警告している。