JetBrainsの「TeamCity」に深刻な脆弱性、認証不要のRCEが可能に——CISAが悪用を確認
要点
- JetBrainsのCI/CDツール「TeamCity」において、認証なしでリモートから任意のコードが実行可能な深刻な脆弱性（CVE-2026-63077）が判明した。
- 脆弱性の原因は「信頼できないデータのデシリアライズ」に起因するもので、深刻度を示すCVSSスコアは最高レベルの「9.8」と評価されている。
- 米CISAは実際の攻撃における悪用を確認し、現地時間2026年8月5日に本脆弱性を「悪用が確認されている脆弱性カタログ」へ登録した。
- 影響を受けるのは特定の古いバージョンであり、JetBrainsは修正版である「2025.11.7」および「2026.1.3」へのアップデートを呼びかけている。
JetBrains（ジェットブレインズ）社が提供するCI/CD（ソフトウェアのビルドやテスト、デプロイを自動化する開発支援ツール）製品「TeamCity」において、認証を経ていない外部の攻撃者が遠隔から任意のシステムコマンドを実行できる深刻な脆弱性が明らかになった。本件は「CVE-2026-63077」として登録されており、すでに実際の攻撃での悪用も確認されている。
脆弱性の概要と技術的要因
今回判明した脆弱性は、TeamCityにおいてビルド処理の実行を担う「エージェント」が、管理サーバーとの間で通信を行う「エージェントポーリングプロトコル（定期的に接続状態を確認し合う通信手順）」に存在している。
このプロトコルにおいて、外部から送信されたデータをプログラム内で元のオブジェクト形式に復元する「デシリアライズ」処理が行われる際、信頼できないデータを不適切に処理してしまう不備（CWE-502）がある。攻撃者はこの処理の隙を突くことで、ユーザー認証を一切必要とせずに、ネットワーク経由で対象のサーバー上で任意のプログラムを実行（リモートコード実行：RCE）することが可能になるという。
深刻度評価「9.8」極めて高いリスク
本脆弱性は極めて深刻なものとして分類されている。脆弱性の深刻度を数値化して評価する世界的な基準「CVSS（共通脆弱性評価システム）3.1」に基づき、本脆弱性の採番・分析を行うJetBrains自身が算出したベーススコアは「9.8」（最大10.0）に達している。これは最高ランクの深刻度である「CRITICAL（緊急）」に位置づけられる。
スコア算出の根拠となる詳細（評価ベクター）によると、この脆弱性はネットワーク経由で容易に攻撃が可能（攻撃元区分：ネットワーク）であり、攻撃を実行するための複雑さは低く（攻撃条件の複雑さ：低）、特別な権限（必要な特権：なし）やユーザーによる操作（ユーザー関与：なし）も一切不要とされている。一方で、攻撃が成功した際にシステムに与える影響は、情報の漏洩（機密性への影響）、データの改ざん（完全性への影響）、およびシステムの停止（可用性への影響）すべてにおいて最も高い「高（High）」と評価されており、システム全体を完全に掌握される危険性を示している。
CISAによる悪用の確認と警告
本脆弱性はすでに実際の攻撃に悪用されており、緊急の対処が必要な状態にある。米国の安全保障を担う政府機関であるCISA（米サイバーセキュリティ・インフラストラクチャセキュリティ庁）は、現地時間2026年8月5日にこの脆弱性を「悪用が確認されている脆弱性カタログ（KEV）」に登録した。
CISAのコーディネーターが更新したステータス履歴によると、本脆弱性の悪用状況（exploitation）は当初「none（なし）」とされていたが、8月5日に「active（実際に悪用されている）」へと変更された。また、攻撃を自動的に実行可能かを示す「automatable（自動化可能性）」の項目は「yes（はい）」とされており、技術的な影響は「total（全体的）」と評価されている。
この状況を受け、CISAは連邦政府機関や関連組織に対し、大統領特別指示（BOD 22-01）や新たなガイドライン（BOD 26-04）に基づく対処を指示した。クラウドサービスでの対策適用や、対策が取れない場合の製品使用停止を含め、現地時間2026年8月8日までに対応を完了するよう期限を設けている。また、各組織に対してインターネットへの露出を評価し、適切なパッチ適用ガイドラインに従うよう求めている。
影響を受けるバージョンと修正対応
本脆弱性の影響を受けるソフトウェアの構成は以下の通りである。
- TeamCity 2025.11.7未満のすべてのバージョン
- TeamCity 2026.1以上、2026.1.3未満のバージョン
開発元であるJetBrains社は、すでにこの問題を修正したアップデートを提供している。システム管理者に対し、脆弱性が修正された最新のバージョン（2025.11.7および2026.1.3）へ移行するか、ベンダーの指示に従って適切な回避策を講じるよう強く呼びかけている。
補足
CI/CDツールはソフトウェア開発フローの核心部分を担うため、そこが侵害された場合、サプライチェーン全体に深刻な被害が及ぶ可能性がある。特に本脆弱性のように認証なしでのリモートコード実行が可能なケースでは、迅速なパッチ適用が組織のセキュリティ維持において極めて重要となる。