JetBrains TeamCity の脆弱性 CVE-2026-63077 が FIX：未認証攻撃によるシステム侵害の恐れ

Critical TeamCity Flaw Lets Unauthenticated Attackers Execute System Commands

2026/07/28 gbhackers — JetBrains が公開したのは、TeamCity On-Premises に存在する深刻な脆弱性 CVE-2026-63077 に関する情報である。この脆弱性を悪用する未認証のリモート攻撃者は、影響を受けるサーバ上で任意のオペレーティング・システム・コマンドを実行できる。また、この問題の影響が及ぶ範囲は、セルフホスト型の継続的インテグレーション (CI) および継続的デリバリー (CD) プラットフォームの全バージョンであるため、TeamCity インスタンスを HTTP／HTTPS 経由で公開している組織は、早急にパッチを適用する必要がある。

TeamCity の重大な欠陥

すでに JetBrains は、TeamCity バージョン 2025.11.7／2026.1.3 をリリースし、この問題に対処している。管理者に求められるのは、TeamCity の速やかなアップデートである。その一方で、TeamCity Cloud を使用している顧客は、すでにホスト型サービス上で緩和策が実装されているため、対応は不要である。

JetBrains によると、TeamCity サーバの HTTP(S) インターフェイスへのネットワーク・アクセスだけで、この脆弱性の悪用が可能であり、攻撃者は有効な認証情報を必要としない。また、この脆弱性は TeamCity agent polling protocol に存在し、認証チェックをバイパスした攻撃者は、TeamCity サーバ・プロセスに割り当てられた権限を介して、任意のコマンドを実行できる。

CI/CD プロセスに必要なソースコード・ビルド／デプロイ・ワークフロー／パッケージ・リポジトリ／シークレットの管理に TeamCity を使用している組織にとって、この問題はきわめて懸念すべきものである。攻撃に成功した攻撃者は、TeamCity の機密データ／サーバ・コンフィグ・ファイル／保存済み認証情報／ビルド・パラメータにアクセスし、場合によってはソース・コードやデプロイ成果物にもアクセスする可能性がある。

さらに、TeamCity サービスが昇格された権限で動作している場合には、その影響はアプリケーション・サーバを超えて広がり、ホスト全体が侵害される可能性がある。また、ビルド成果物の改竄やパイプライン・コンフィグの変更も可能になるため、影響を受ける組織にとって深刻なソフトウェア・サプライチェーン・リスクがもたらされる。

この問題は、2026年7月10日に、セキュリティ研究者 Antoni Tremblay の協調的な脆弱性開示プロセスを通じて、JetBrains へと非公開で報告された。JetBrains は、7月27日にアドバイザリを公開した時点で、この脆弱性の実際の悪用は確認していないと述べている。しかし、この脆弱性が認証不要で悪用可能であることに加え、パッチや詳細な技術情報が公開されていることを踏まえると、インターネットに公開されている TeamCity サーバは、優先的に対応されるべき対象となる。

それぞれの組織は、ベンダーが提供するインストーラまたは自動更新機能を使用して、TeamCity On-Premises 環境をバージョン 2025.11.7／2026.1.3 へとアップグレードする必要がある。また、迅速なアップグレードが完了できない管理者は、JetBrains の専用セキュリティ・パッチ・プラグインのインストールによる対応も可能となる。このプラグインは TeamCity バージョン 2017.1 以降をサポートする。

TeamCity 2024.03 以降を実行しているインスタンスでは、Administration > Updates からセキュリティパッチを確認できる。バージョン 2017.1 から 2018.1 までを実行しているサーバでは、プラグインのインストール後に再起動が必要となるが、TeamCity 2018.2 以降のリリースでは再起動なしでプラグインを有効化できる。

このパッチ・プラグインが対処するのは CVE-2026-63077 のみである。そのため、追加のセキュリティ修正を取得するためには、完全なアップグレードを計画する必要がある。

多層防御戦略の一環として、JetBrains が TeamCity ユーザーに推奨するのは、信頼できるネットワークへのアクセス制限／VPN のアクセス制御層の背後へのインターネット公開環境の配置／必要最小限の権限でのサービス実行／TeamCity サーバとビルド・エージェントとの分離などである。

訳者後書：今回の問題は、TeamCity のエージェント・ポーリング・プロトコルにおける欠陥が原因で発生しました。この脆弱性 CVE-2026-63077 により、認証チェックが回避され、外部からの未認証リクエストを受け入れてしまう恐れがあります。この脆弱性の悪用に成功した攻撃者は、特別なログイン情報を必要とせずに、サーバ・プロセスと同等の権限で任意のコマンドを実行できます。特に HTTP や HTTPS でインターネットに直接公開されている環境では、ネットワーク経由で不正な操作を直接流し込まれるリスクが高まります。ご利用のチームは、ご注意ください。よろしければ、TeamCity での検索結果も、ご利用ください。