JetBrainsの「TeamCity」に重大な脆弱性、未ログインでOSコマンド実行の恐れ

要点

• JetBrainsは、CI/CDツール「TeamCity」のオンプレミス版に、任意のコードを実行される恐れがある深刻な脆弱性があると公表しました。

• 脆弱性「CVE-2026-63077」は深刻度スコア「9.8」で、未ログインの外部攻撃者がサーバーを制御できる可能性があります。

• すでに修正版が提供されているほか、即時アップデートが困難な環境向けに専用のパッチプラグインも配布されています。

• クラウド版はすでに自動で対策が完了しており、現時点で本脆弱性が実際の攻撃に悪用された形跡は確認されていません。

• ソフトウェア開発支援ツールを手がけるJetBrainsは2026年7月28日、同社のCI/CD（ソフトのビルドや配備といった開発工程を自動化する仕組み）ツール「TeamCity」のオンプレミス版において、深刻な脆弱性が存在することを明らかにしました。この脆弱性を悪用されると、認証を受けていない攻撃者がサーバー上で任意のOSコマンドを実行する恐れがあるとして、同社は対象となるシステム管理者に対して早急な対策を強く呼びかけています。

深刻度「9.8」の脆弱性、オンプレミス版の全バージョンに影響

今回の脆弱性は「CVE-2026-63077」として登録されており、CVSS（システムの脆弱性の深刻度を評価する指標）による深刻度スコアは10点満点のうち「9.8」と極めて危険な評価を受けています。影響が及ぶのは、オンプレミス版（自社のサーバー環境に導入して運用する形態）のすべてのTeamCityであり、迅速な対策が必要です。一方、JetBrainsがホストするクラウド版（TeamCity Cloud）については、すでに自動でアップデートが完了しています。

この脆弱性は、2026年7月10日にセキュリティ研究者のAntoni Tremblay氏によって報告されました。これを受けてJetBrainsは、修正版となる「2025.11.7」および「2026.1.3」をリリースし、詳細を一般に公表しました。現時点では、この脆弱性が実際の攻撃に利用された形跡や証拠は確認されていないと説明されています。

認証チェックを回避し、OSコマンドを実行する仕組み

JetBrainsの説明によると、この脆弱性は、認証チェックを完全にバイパスしてリモートからのコード実行を可能にするものです。

具体的には、TeamCityの「エージェントポーリングプロトコル」（サーバーと、ビルド処理などを実行するエージェント端末が通信するための仕組み）の処理プロセスに欠陥が存在しています。攻撃者がHTTPまたはHTTPS経由でTeamCityサーバーにアクセス可能な状態であれば、このプロトコルを悪用することで、ログインなどのユーザー認証手順をすり抜けることができます。

認証を突破した攻撃者は、TeamCityのサーバープロセスが動作している権限を利用して、サーバーのOS上で任意のコマンドを実行することが可能になります。これにより、攻撃者はサーバー内に保存されている機密データやシステム設定、各種認証情報（パスワードなど）を盗み出したり、サーバーの状態を不正に変更したりすることができるようになります。サーバープロセスの権限が大きければ大きいほど、被害は深刻化します。

修正アップデートと、即時適用できない環境向けのパッチ

JetBrainsは、オンプレミス版を使用するユーザーに対し、脆弱性が修正された最新のバージョン「2025.11.7」または「2026.1.3」へ直ちに移行することを求めています。

一方で、運用の制約からすぐにバージョンアップを実施できないユーザーを支援するため、暫定的な防衛策も提示されました。同社は、バージョン「2017.1」以降の環境に適用できる「セキュリティパッチプラグイン」（特定の不具合を修正するために一時的に適用される拡張機能）を用意し、個別での提供を開始しています。

ただし、JetBrainsはこのパッチプラグインについて注意を促しています。このプラグインは今回の脆弱性（CVE-2026-63077）のみをピンポイントで修正するものであり、他の脆弱性への対策は含まれていません。同社は「他の様々なセキュリティ向上や新機能の恩恵を受けるためにも、サーバー自体を最新バージョンにアップグレードすることを常に推奨する」と述べており、プラグインの適用はあくまで一時的な措置にとどめるよう促しています。

露出防止のためのネットワークセキュリティ推奨構成

また、今回の発表においてJetBrainsは、製品自体の修正だけでなく、根本的なネットワーク構成を見直すベストプラクティスについても言及しました。

特に、インターネットに直接公開された環境でTeamCityサーバーを稼働させることへの懸念を示しています。同社は、TeamCityへのアクセス経路にVPN（インターネット上に仮想的な専用回線を構築し安全に通信する技術）を要求したり、追加のアクセス制御層を導入したりすることを検討するようアドバイスしています。

たとえ現在判明している脆弱性にすべてパッチを適用していたとしても、ログイン画面やREST API（外部のプログラムからシステムを操作するための窓口）がそのままインターネットに露出していること自体がリスクになります。新たな脆弱性が発見された際、攻撃者にいち早く足がかりを与えてしまう要因となるため、外部からのアクセス制限を強化することが不可欠な防御策になると説明しています。