JetBrains TeamCity の脆弱性 CVE-2026-63077：CI/CD 環境での RCE の恐れ

Critical JetBrains TeamCity Flaw Enables Unauthenticated Remote Code Execution

2026/07/31 gbhackers — JetBrains が公表したのは、TeamCity On-Premises に存在し、すべてのサポート対象バージョンに影響を及ぼす、深刻なセキュリティ脆弱性 CVE-2026-63077 に関する情報である。この脆弱性を悪用するネットワーク・アクセス権を持つ攻撃者は、認証チェックを回避して、TeamCity サーバ・プロセスの権限で任意のオペレーティング・システム・コマンドを実行できる。このため、影響を受けるサーバ上での認証不要のリモート・コード実行 (RCE) が可能となり、HTTP(S) 経由で公開されている CI/CD 環境にとって深刻なリスクが生じる。

ソフトウェア・デリバリー・パイプラインにおいて、中央の自動化ハブとして機能することが多い TeamCity であるため、この脆弱性が悪用されると、セキュリティ侵害による影響が劇的に拡大する可能性がある。

JetBrains TeamCity の脆弱性

JetBrains のアドバイザリによると、TeamCity がエージェント・ポーリング・プロトコルを処理する方法に、この脆弱性は存在する。この脆弱性を悪用する未認証の攻撃者は、標準的な認証制御の回避が可能になる。

この脆弱性の悪用に成功した攻撃者は、基盤となるホスト上で任意のコマンドを実行できるようになり、CI/CD システムが管理するビルド・コンフィグ／保存済みの認証情報／機密性の高いプロジェクト・データが漏洩する可能性がある。このような侵害の結果として挙げられるのは、サーバ状態の不正な変更／ビルド・パイプラインの改ざん／下流環境への悪意のあるアーティファクトの混入などであり、組織のソフトウェア・サプライチェーン全体に連鎖的な影響が生じ得る。

この問題は、協調的な脆弱性開示プロセスの一環として、セキュリティ研究者 Antoni Tremblay により 2026年7月10日に非公開で報告されたと、JetBrains は述べている。

この記事の公開時点で、JetBrains は TeamCity Cloud 環境に対する悪用は確認されていないと述べている。すでに、このホステッド・サービスに対して緩和策が実施されていることを、同社は確認している。その一方で、オンプレミス環境ではパッチ適用が必須となる。インターネット／信頼できないネットワーク経由で、TeamCity サーバにアクセス可能な場合は、特に危険性が高い。

この脆弱性は、TeamCity バージョン 2025.11.7／2026.1.3 で修正されている。JetBrains が顧客に強く推奨するのは、主な対策として、いずれかのバージョンに速やかにアップグレードすることである。迅速な更新が不可能な組織向けに TeamCity が提供するのは、バージョン 2017.1 以降を対象としてリリースされた、CVE-2026-63077 に対応する専用のセキュリティ・パッチ・プラグインである。

さらに、TeamCity 2024.03 以降の新しいリリースでは、セキュリティ・パッチ・プラグインの自動的な取得が管理者に通知されるため、ビルトインされた更新機能を通じた適用が可能になる。ただし JetBrains が強調するのは、このプラグインは特定の脆弱性に対処するものであり、広範なセキュリティ強化を図るためには、アップグレードが不可欠になる点だ。

予防措置として JetBrains が推奨するのは、TeamCity サーバへのネットワーク・アクセスを信頼できるネットワークまたは VPN ユーザーに限定し、ログイン・ページや REST API をパブリック・インターネットに直接公開しないことである。また、組織に対して求められるのは、TeamCity サーバを最小限の OS 権限で実行し、ビルド・エージェントとは分離された専用インフラで稼働させることである。

これにより、侵害が発生した場合に、攻撃者によるラテラル・ムーブメントの制限が可能になる。このインシデントが浮き彫りにするのは、攻撃者にとって CI/CD プラットフォームが持つ戦略的な価値である。ビルドおよびデプロイメント・インフラにおける継続的なパッチ適用／厳格なアクセス制御／アーキテクチャ上の分離の重要性が強調される。

訳者後書：JetBrains の TeamCity On-Premises に存在する脆弱性 CVE-2026-63077 は、エージェント・ポーリング・プロトコルの処理における不備が主な原因となっています。この問題により、ネットワーク経由でアクセスできる攻撃者が標準的な認証チェックを回避し、認証なしで任意の OS コマンドを実行できる状態が生じていました。TeamCity CI/CD サーバは開発における重要なハブであるため、こうした認証回避の仕組みを理解して対策を取ることが大切です。ご利用のチームは、ご注意ください。よろしければ、JetBrains での検索結果も、ご参照ください。