CISA KEV 警告 26/08/05：TeamCity の脆弱性 CVE-2026-63077 を登録

CISA Alerts Issues on Actively Exploited TeamCity Remote Code Execution Vulnerability

2026/08/06 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、実際に悪用されている証拠を確認したとして、JetBrains TeamCity の深刻な脆弱性 CVE-2026-63077 を Known Exploited Vulnerabilities (KEV) カタログに追加した。この脆弱性は、HTTP／HTTPS 経由で露出している脆弱性の影響を受ける TeamCity On-Premises サーバ上で、未認証のリモート・コード実行 (RCE) を可能にするものである。

CISA が TeamCity RCE について警告

脆弱性 CVE-2026-63077 は、TeamCity のエージェント・ポーリング・プロトコル内に存在する信頼できないデータのデシリアライズ問題であり、CWE-502 として分類されている。標的サーバへのネットワーク・アクセスを持つ未認証の攻撃者は、認証チェックをバイパスし、TeamCity サーバプロセスと同じ権限で任意のオペレーティング・システム・コマンドを実行できる。この脆弱性は、TeamCity On-Premises のバージョン 2025.11.7／2026.1.3 未満に影響を及ぼす。

CISA は、2026年8月5日にこの脆弱性を KEV カタログに追加し、2026年8月8日という短い修復期限を設定している。米国連邦行政機関 (Federal Civilian Executive Branch) は、悪用リスクに基づいて修復を優先する Binding Operational Directive (BOD) 26-04 に基づき、その日までにベンダーの緩和策を適用する必要がある。CISA の指令は連邦機関に適用されるものだが、自己ホスト型 TeamCity インフラを運用する民間の組織も、この問題を緊急のインシデントとして優先すべきである。

CI/CD サーバへの侵害は、影響を受けたホストを超えて、広範な影響を及ぼす可能性がある。TeamCity サーバには一般に、ソースコード／アクセストークン／クラウド・クレデンシャル／署名素材／デプロイメント・シークレット／ビルド・コンフィグ／アーティファクトなどの機密性の高い情報が保存されている。

したがって、脆弱性 CVE-2026-63077 を悪用する攻撃者は、保存されたクレデンシャルの窃取／サーバコンフィグの変更／ビルド成果物の改ざんなどを介して、下流のソフトウェア・デリバリー・パイプラインに悪意のコードを挿入する可能性がある。

多くのビルド・マネージメント・プラットフォームは、インターネットに露出する性質からリスクが高まっている。CVE-2026-63077 の悪用時には、有効なアカウントもユーザー操作も不要であるため、日和見的なスキャンと自動化された攻撃により、露出している TeamCity サーバに影響が生じる可能性がある。

これまでにも TeamCity に対する実環境での攻撃が確認されており、今回の CISA の警告が浮き彫りにするのは、防御側による資産の特定と迅速なパッチ検証の必要性である。

すでに JetBrains は、バージョン 2025.11.7／2026.1.3 の修正版をリリースし、この問題に対処しているため、ユーザーには速やかなアップデートが強く推奨される。

直ちにアップグレードできない組織は、TeamCity 2017.1 以降に対応する JetBrains のセキュリティ・パッチ・プラグインを展開できる。ただし、このプラグインは CVE-2026-63077 のみに対処するものであり、完全なアップグレードの代替にはならない。

なお、TeamCity Cloud には必要な緩和策がすでに適用されているため、ユーザー側での対応は不要である。

セキュリティ・チームに推奨される対応は、以下のとおりである。

• すべての TeamCity On-Premises インスタンスを特定する。特に、インターネットに露出しているものを優先する。
• 修正済みリリースへのアップグレード、またはセキュリティ・パッチ・プラグインのインストールを直ちに実施する。
• TeamCity へのアクセスを、信頼されたネットワーク／VPN ユーザー／管理者／既知のビルド・エージェントなどに制限する。
• 不正なアクティビティの兆候について、TeamCity ログ／管理者アカウント／プラグインの変更／ビルド・コンフィグ／最近のアーティファクトを確認する。
• 露出した可能性がある TeamCity サーバからアクセス可能なクレデンシャル／トークン／証明書／署名鍵をローテーションする。
• TeamCity サービスが最小権限で動作し、ビルド・エージェント・ホストから分離されていることを確認する。

この脆弱性のアクティブな悪用により、ソフトウェア・サプライチェーン侵害の可能性が生じている。組織にとっては、インターネットから到達可能な未パッチの TeamCity サーバが標的にされる可能性を想定する必要があり、封じ込め／パッチ適用／フォレンジック・レビューを優先することが不可欠である。

訳者後書：開発の基盤となる JetBrains TeamCity において、認証を経ずにリモートから任意のコードが実行される問題 CVE-2026-63077 が判明し、CISA KEV カタログに追加されました。この事象を放置すると機密情報の漏洩やビルドデータの改ざんを引き起こし、サプライチェーン全体に広範な悪影響が及ぶ恐れがあります。オンプレミス版を利用している場合は、影響を受けない最新バージョンへのアップデートを実施するか、緊急用の専用プラグインを導入して対応してください。