JetBrains IntelliJ IDEA と TeamCity の複数の脆弱性が FIX：任意のコード実行などの恐れ

JetBrains Fixes Critical IntelliJ IDEA Code Execution Flaw and Four TeamCity Vulnerabilities

2026/07/24 CyberSecurityNews — JetBrains がリリースしたのは、IntelliJ IDEA に存在する深刻なコード実行の脆弱性と、TeamCity に存在する 4 件の高深刻度の脆弱性に対処するためのセキュリティ更新である。開発チームと CI 管理者に求められるのは、これらのパッチを直ちに適用して、潜在的なリモート攻撃を防ぐことである。JetBrains が公開したのは、IntelliJ IDEA と TeamCity などの IDE およびサーバ製品全体にまたがる、複数の問題を詳述するセキュリティ・アドバイザリである。その中には、Critical または High 深刻度に分類される複数の問題が含まれている。

これらの修正は、IntelliJ IDEA バージョン 2026.1.4／2026.2 および TeamCity バージョン 2026.1.2／2025.11.6 で対処されている。ユーザーに推奨されるのは、これらのバージョン以降へとアップグレードし、特定された脆弱性に完全に対処することだ。

JetBrains が重大な脆弱性を修正

IntelliJ IDEA の深刻な脆弱性 CVE-2026-59792 は、project workspace ID の処理に関連するものだ。この欠陥を突く攻撃者は、workspace ID 処理中のパス・トラバーサルを通じてコード実行が可能になる。

なお、これとは別に、filename completion における高リスクのコマンド・インジェクション脆弱性 CVE-2026-49366 と、guest account に影響するコマンド実行の脆弱性 CVE-2026-49367 についても、JetBrains はIntelliJ IDEA 2026.1.1 で既にパッチを適用済みである。project content または guest session に対して攻撃者が影響を与えるケースにおいて、これら 2 件の脆弱性により任意のコマンド実行が可能になる。

このアドバイザリは、IntelliJ IDEA の Remote Development における複数の深刻な弱点もカバーしている。その中には、Remote Development セッション中の不正な入力注入の脆弱性 CVE-2026-64812 と、不正な設定変更の脆弱性 CVE-2026-64813 が含まれる。

それらに関連する別の高深刻度の脆弱性 CVE-2026-64814 は、同じ Remote Development コンテキスト内での不正なファイル・アクセスを可能にする。それにより、SSH 経由または共有環境で IDE バックエンドを公開しているチームのリスクが大幅に高まる。

CI 側として、JetBrains は TeamCity に存在する 4 件の深刻な脆弱性に対処した。その中には、Git VCS roots における重大なリモートコード実行の脆弱性 CVE-2026-65907 が含まれる。この欠陥を突く攻撃者は、悪意のリポジトリ・コンフィグを通じてコード実行を可能にする。

別の高深刻度の脆弱性 CVE-2026-65906 は、build configuration script における Kotlin DSL sandbox escape を介したコード実行に関係する。それに加えて、脆弱性 CVE-2026-59793／CVE-2026-59794 は、Perforce 統合における任意ファイル・アクセスと、cloud profile data における Stored XSS に関連するものだ。

脆弱性 CVE-2026-65907 (TeamCity Git VCS roots) は CWE-94 (Code Injection) に分類され、細工した Git root 設定を用いる攻撃者に対して、脆弱な TeamCity サーバ上でのリモートコード実行を許すものである。

CVE-2026-65906 (TeamCity Kotlin DSL sandbox escape) と CVE-2026-59793 (Perforce における任意のファイルアクセス) は、侵害された VCS 統合の悪用により、ソース管理からビルド・インフラへのピボットを許すものである。

IntelliJ IDEA においては、深刻な workspace ID パストラバーサルの脆弱性 CVE-2026-59792 が、バージョン 2026.1.4／2026.2 で修正されている。古い 2026.1.x／2025 ブランチを使用しているユーザーはアップグレードする必要がある。

TeamCity においては、脆弱性 CVE-2026-65906／CVE-2026-65907 が、TeamCity バージョン 2026.1.2／2025.11.6 で解決されている。それらは、任意ファイル・アクセスと XSS を引き起こすものだ。

JetBrains がユーザーに推奨するのは、IntelliJ IDEA と TeamCity のパッチ適用済みバージョンへと、速やかにアップグレードすることだ。さらに、セキュリティ・チームは、ユーザーが提供する信頼されていないスクリプトの有無について、ビルド・コンフィグと VCS roots を確認すべきである。

それに加えて、セキュリティを重視するチームは、Kotlin DSL／Git／Perforce roots を定義するユーザーを制限し、project trust prompts を強制し、不審なスクリプト実行や予期しない agent の挙動の有無をビルド・ログで監視すべきである。

訳者後書：ソフトウェア開発環境や継続的インテグレーションを担う IntelliJ IDEA や TeamCity において、プロジェクト識別情報の処理や外部連携機能の検証不足に起因する脆弱性が判明しました。悪意あるリポジトリの読み込みや不正な入力を通じて、システム内部のファイルへアクセスされたり遠隔から任意のプログラムを実行されたりする恐れがあります。特に CVE-2026-59792 や CVE-2026-65907 などの深刻な欠陥に注意が必要です。安全に利用するためにも、パッチが適用された最新バージョンへの更新を行い、設定ファイルや連携機能のアクセス権限を適切に制限しておくことが大切です。