JetBrainsは、IntelliJ IDEAとTeamCityに影響を及ぼす一連のセキュリティ脆弱性に対処しました。この中には、開発環境や継続的インテグレーション環境においてコード実行や不正な操作を許してしまう恐れのある、複数の重大な欠陥も含まれています。
Hacking& Cracking
今回のアップデートでは、リモート開発セッション、GitおよびPerforceのVCS連携、ワークスペース処理、エージェント登録、権限検証における脆弱性が修正されています。
JetBrainsが複数の脆弱性を修正
IntelliJ IDEAの2026.22026.22026.2において、リモート開発セッションに影響する重大な脆弱性が2件確認されています。1つ目のCVE-2026-64812(IJPL-245951として追跡)は、リモート開発セッション中に不正な入力インジェクションを許してしまう可能性があるもので、JetBrainsが報告しています。
この問題はCWE-306(重要な機能に対する認証の欠如)に分類されています。脆弱なリモート開発ワークフローにアクセスした攻撃者は、必要な認可制御を経ずに入力を注入できる可能性があり、機密性の高いリポジトリやシステムで作業する開発者にとってリスクとなります。
2つ目の重大な問題であるCVE-2026-64813(IJPL-245849)は、リモート開発セッションにおける設定への不正な変更を許してしまう可能性があります。
CWE-602に分類されるこの脆弱性は、クライアント側のセキュリティ制御に対するサーバー側の検証が不十分であることを示しています。プロジェクトやIDEの設定が不正に変更されると、開発者の防御機能が損なわれたり、実行動作が変わったり、リモート開発環境における二次攻撃を招いたりする恐れがあります。
JetBrainsはまた、IntelliJ IDEAのプロジェクトワークスペースID処理における重大なパストラバーサルの欠陥であるCVE-2026-59792も修正しました。Antoni Tremblay氏によって報告され、IJPL-247564として追跡されているこの脆弱性は、細工されたワークスペース識別子を通じてコード実行を可能にする恐れがあります。
これはCWE-23に分類されており、IntelliJ IDEAのバージョン2026.1.42026.1.42026.1.4および2026.22026.22026.2に影響します。パストラバーサルの脆弱性は、攻撃者に本来アクセスできないディレクトリ境界外のファイルへのアクセスを許してしまう恐れがあるため、開発ツールにおいては特に懸念される問題です。
TeamCityについて最も深刻なのは、Git VCSルートに影響する重大なコード実行の脆弱性であるCVE-2026-65907です。TW-101674として追跡され、CWE-94に分類されるこの欠陥は、TeamCityのバージョン2026.1.22026.1.22026.1.2および2025.11.62025.11.62025.11.6に影響します。
TeamCityはソースコード、認証情報、成果物リポジトリ、デプロイインフラへのアクセス権を持つことが多いため、ビルドサーバー上でのコード実行はサプライチェーン全体に重大な影響を及ぼしかねません。
さらに、TeamCityのバージョン2026.1.22026.1.22026.1.2では、深刻度の高い4件の問題も解決されています。@maple3142氏によって報告されたCVE-2026-59793は、Perforce VCS連携において、ファイル名やパスの外部制御が不十分であるために(CWE-73に分類)、任意のファイルへのアクセスを許してしまう可能性があります。
CVE-2026-59794は、エージェントが報告したデータを介したクラウドプロファイルページでの格納型クロスサイトスクリプティング(XSS)に対処するもので、CVE-2026-59795は、未認証のエージェント登録を介した格納型XSSの脆弱性を修正するものです。
両方ともCWE-79に分類されており、管理者セッションが露出したり、TeamCityのウェブインターフェースを通じて悪意ある操作が行われたりする恐れがあります。
最後の深刻度の高い脆弱性であるCVE-2026-59796は、TeamCityの権限チェックに影響し、パイプラインの不正な変更を許してしまう可能性があります。
Alwion氏によって報告され、TW-101629として追跡されているこのCWE-862の問題は、攻撃者が制限の不十分なアカウントにアクセスした場合、ビルド構成や配信ワークフローを改ざんできる可能性があります。
管理者は、IntelliJ IDEAとTeamCityを直ちに最新の修正版へアップグレードすることが推奨されます。あわせて、リモート開発の露出範囲を制限し、TeamCityのエージェント登録設定を見直し、漏えいの可能性がある認証情報をローテーションし、不正な操作の兆候がないかビルド構成の変更を監査することも求められます。
ALERT: 20+ government sites delivered malware to businesses and citizens. See full attack research to check your own exposure.
翻訳元: https://gbhackers.com/jetbrains-patches-multiple-vulnerabilities/
