JetBrainsのTeamCityに重大な脆弱性、すでに悪用確認で米CISAが緊急警告

要点

• JetBrainsの「TeamCity」オンプレミス版に、野生で悪用されている脆弱性「CVE-2026-63077」が発覚した。

• データの復元（デシリアライゼーション）の不備を突き、認証なしで任意のOSコマンドを実行される恐れがある。

• 攻撃成功により、データや認証情報の流出だけでなく、ビルド成果物や下流のCI/CDパイプライン全体の改ざんにつながる。

• 米CISAは本件を悪用確認済みの脆弱性カタログに追加し、連邦機関へ2026年8月8日までのパッチ適用を義務付けた。

• 攻撃の手法や規模は不明だが、開発元はオンプレミス版ユーザーに迅速なアップデート適用を推奨している。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年8月5日、JetBrains社が提供するソフトウェアビルド管理プラットフォーム「TeamCity」のオンプレミス版に存在する深刻な脆弱性が、すでに実際のサイバー攻撃で悪用されていることを明らかにした。「CVE-2026-63077」として追跡されているこの脆弱性について、CISAはすべての管理者に対して速やかな対処を呼びかけている。

認証なしでサーバー制御が可能になる深刻な欠陥

今回発見された脆弱性「CVE-2026-63077」は、脆弱性の深刻度を示すCVSSスコアで10点満点中「9.8」と極めて危険なレベルである。

欠陥の原因は「信頼できないデータのデシリアライゼーション」と呼ばれる処理の不備だ。デシリアライゼーションとは、通信用に変換されたデータを元の形式に復元する処理で、この過程でデータの安全性が検証されないことが問題を引き起こす。

CISAによると、攻撃者は「エージェントポーリングプロトコル」（サーバーとビルドエージェント間の通信手段）を悪用し、ログイン権限（認証）がない状態からでも、認証チェックを完全に迂回してサーバー上で任意のオペレーティングシステム（OS）コマンドを実行できるという。

ビルド成果物やCI/CDパイプライン全体への波及リスク

攻撃が成功した場合の影響はサーバープロセスの権限によって異なるが、開発環境全体に及ぶリスクは大きい。

JetBrains社によると、攻撃を受けたサーバーからは、プロジェクトのデータや設定情報、格納された認証情報が外部に漏洩する恐れがある。さらに深刻なのは、自動化された開発フローである「CI/CD」の下流パイプラインや、ビルド成果物そのものの整合性が侵害される危険性だ。これにより、開発中の製品に不正なコードが混入し、下流システムやサプライチェーン全体へと被害が拡大する可能性がある。

不明な攻撃の実態と開発元の推奨事項

現在、この脆弱性がどのように悪用されているのか、具体的な手法や手口は分かっていない。また、攻撃を行っている脅威アクターの素性や、被害の発生規模についても現時点では不明とされている。

JetBrains社も、現時点では自社のセキュリティ勧告（アドバイザリ）を更新しておらず、実際の悪用事例を公式には確認していない。しかし、脅威の緊迫性を考慮し、同社はオンプレミス版のTeamCityを運用しているすべてのユーザーに対し、可及的速やかに修正パッチを適用するよう強く推奨している。

米連邦機関には極めて短い「3日間」の対処期限

CISAは今回の事態を受け、同機関が管理する「既知の悪用された脆弱性（KEV）カタログ」に本脆弱性を追加した。このカタログは、実際の悪用が確認され、優先的な対応が必要とされる脆弱性のリストだ。

米国政府のバインディング指令（BOD 26-04）に基づき、米連邦文民行政機関（FCEB）は、KEVカタログ掲載の脆弱性に対して、優先的に更新プログラムを適用するか、または代替の緩和策を導入することが義務付けられている。

本件について、CISAが連邦機関に対して設定した対処期限は「2026年8月8日」である。警告の発表が8月5日であるため、週末を挟むわずか3日以内という、異例の短期間での対応が求められている。

補足

TeamCityのようなCI/CDツールは近代的な開発の中核を担う。そのため、開発サーバー自体の脆弱性が放置されれば、ソフトウェアを安全に届けるプロセスそのものが崩壊しかねない。オンプレミス版の環境を持つ管理者は、一刻も早いアップデートの適用を急ぐべきだろう。