JetBrainsのクラウド実行基盤「Cadence」に不正アクセス、TeamCityの未修正脆弱性を突かれ認証情報などが流出

要点

• JetBrainsのクラウド計算サービス「Cadence」が外部からのサイバー攻撃を受け、サーバー内のデータや認証情報が閲覧された。

• 侵入には同社のCI/CDツール「TeamCity」の重大な脆弱性（CVE-2026-63077）が悪用され、パッチが未適用だったサーバーが標的となった。

• 攻撃者は2024年のバックアップからAWS IAM認証情報を抽出したほか、ユーザーの個人情報や同期されたソースコードにアクセスした可能性がある。

• JetBrainsは対象サーバーを停止し、利用者に対してCadenceで使用していたすべてのシークレットの即時失効と再設定を求めている。

• ソフトウェア開発ツール大手のJetBrainsは、同社が提供するクラウド計算サービス「Cadence」の環境が外部からのサイバー攻撃を受けたと発表した。この不正アクセスは、CI/CDツール「TeamCity」の重大な未修正脆弱性を突かれたことによるもので、2026年8月に発生していたことが明らかになった。同社は侵入を受けたサーバーをオフラインにし、利用者に対して関連する認証情報の即時ローテーションとプロジェクト内のデータ確認を行うよう呼びかけている。

TeamCityの重大な脆弱性を突いた侵入の手口

JetBrainsの説明によると、今回の侵害にはTeamCityの脆弱性「CVE-2026-63077」が悪用された。この脆弱性はCVSSスコア9.8と極めて深刻度が高く、信頼できないデータのデシリアライゼーション（データ復元処理）の欠陥に起因している。攻撃者は認証を受けていない状態でも認証を回避し、TeamCityのサーバープロセスの権限で任意のOSコマンドを実行できる状態になっていた。

このセキュリティ欠陥は、米サイバーセキュリティ・インフラセキュリティ庁（CISA）によって2026年8月5日に「悪用が確認された脆弱性カタログ（KEV）」へ登録されるなど、実際の攻撃が警戒されていた。JetBrainsの調査によれば、Cadenceサーバーへの侵入活動は2026年8月8日から24日にかけて行われ、同社が不正な兆候を検知したのは8月23日だった。同社は本来であれば自社の脆弱性対応の一環として対象サーバーへパッチを適用すべきだったと認めているが、適用されなかった詳細な経緯については公表していない。

2024年のバックアップやAWS認証情報へのアクセス

侵入を受けたCadenceは、統合開発環境「PyCharm」と専用プラグイン経由で連携し、クラウド上のGPUを利用して機械学習モデルの学習などの高負荷処理をIDEから直接実行できるホスト型クラウドサービスである。

同社の発表によると、攻撃者はCadenceサーバー内に存在していた2024年時点の完全バックアップデータにアクセスしたことが確認された。このバックアップには、サーバーの設定情報やログ、生成成果物のほか、各種の認証情報が含まれていた。さらに、バックアップから複数のAWS IAM（クラウド上の権限管理システム）ユーザーおよび関連する認証情報が抽出された。これらには、同サービスを利用していたJetBrains従業員のIAMユーザーも含まれる。また、Cadenceで使われていた同社AWSアカウント内のS3ストレージに保存されたファイル群にもアクセスが及んでいた。

加えて、ユーザーの個人情報（ユーザー名、氏名、メールアドレス、最終ログイン日時、アクセス元IPアドレスなど）も不正に閲覧された。さらに、利用者がPyCharmからCadenceサーバーへ同期・アップロードしていたプロジェクトのソースコードや設定情報、コード内に含まれる認証情報なども露出した可能性があるという。現行ユーザーのデータが保管されたストレージにもアクセスが及んだ恐れがあるため、同社はこれらも潜在的に外部流出したものとして扱っている。

サーバー停止と利用者への注意喚起

JetBrainsは事態の確認後、攻撃を受けたCadenceサーバー（api.cadence.jetbrains.com）を停止してオフライン化した。また、PyCharmのCadenceプラグインがサービス接続に使用していたアクセストークンをすべて無効化する措置を講じた。

同社は影響を受けた可能性のある利用者に対し、Cadenceの実行に使用した可能性のあるすべての認証情報やシークレットを直ちに失効させ、新しいものへ更新（ローテーション）するよう求めている。あわせて、サーバーが攻撃者にアクセスされていたことから、Cadenceプロジェクト内で処理されたすべての実行結果や入出力データについても、潜在的に信頼できないものとして精査するよう注意を促した。

さらに同社は、被害の有無を自己検証するための侵害指標（IoC）を公開した。これには攻撃活動に関連する複数のIPアドレス（150.109.230.104、43.153.227.206、62.210.127.48、210.247.242.190、15.235.225.205、152.233.30.18）が含まれる。2026年8月8日以降の不審な認証、リポジトリの想定外のクローンやコミット、APIトークンやSSH鍵の作成・変更、クラウドIAMの権限変更、S3ストレージへのアクセスなどがないか監視を呼びかけている。なお、攻撃を実行した主体の正体については現時点では特定されていない。