JetBrainsは、TeamCity On-Premisesにおける深刻な脆弱性を発表しました。この脆弱性はCVE-2026-63077として識別されており、未認証のリモート攻撃者が影響を受けるサーバー上で任意のOSコマンドを実行できてしまうというものです。
Vulnerabilityassessment service
この問題は、セルフホスト型の継続的インテグレーション・継続的デリバリー(CI/CD)プラットフォームの全バージョンに影響するため、TeamCityインスタンスをHTTPまたはHTTPS経由で公開している組織は早急にパッチを適用する必要があります。
JetBrainsはTeamCityバージョン2025.11.7および2026.1.3で修正版をリリースしており、管理者に対して直ちにアップデートするよう呼びかけています。TeamCity Cloudを利用している顧客については、ホスト型サービス側で既に緩和策が実装済みのため影響を受けず、対応の必要はありません。
深刻なTeamCityの脆弱性
JetBrainsによると、この脆弱性はTeamCityサーバーのHTTP(S)インターフェースへのネットワークアクセスさえあれば悪用可能であり、攻撃者は有効な認証情報を必要としません。
この欠陥はTeamCityのエージェントポーリングプロトコルに存在しており、攻撃者は認証チェックを回避して、TeamCityサーバープロセスに割り当てられた権限で任意のコマンドを実行できます。
この問題は、TeamCityを使ってソースコードのビルド、デプロイワークフロー、パッケージリポジトリ、CI/CDプロセスに必要なシークレットを管理している組織にとって、特に深刻な懸念事項となります。
攻撃が成功した場合、攻撃者はTeamCityの機密データ、サーバー構成ファイル、保存された認証情報、ビルドパラメータ、さらにはソースコードやデプロイ成果物にまでアクセスできる可能性があります。
TeamCityサービスが昇格した権限で動作している場合、影響はアプリケーションサーバーの範囲を超え、ホスト全体が侵害される可能性もあります。
また攻撃者はビルド成果物を改ざんしたり、パイプライン構成を変更したりすることもでき、影響を受ける組織にとって深刻なソフトウェアサプライチェーンリスクとなります。
この問題は2026年7月10日、セキュリティ研究者のAntoni Tremblay氏により、ベンダーの協調的脆弱性開示プロセスを通じてJetBrainsに非公開で報告されました。
JetBrainsは7月27日にアドバイザリを公開した時点では、この脆弱性が実際に悪用された事例は把握していないとしています。しかし、この脆弱性が未認証で悪用可能であること、そしてパッチと詳細な技術情報が既に一般公開されていることを踏まえると、インターネットに公開されているTeamCityサーバーは早急な対応が必要な高優先度の対象と見なすべきです。
組織はベンダーのインストーラーまたは製品の自動更新機能を使い、TeamCity On-Premisesのインストールをバージョン2025.11.7または2026.1.3にアップグレードする必要があります。
直ちに完全なアップグレードを行えない管理者は、TeamCityバージョン2017.1以降に対応したJetBrains専用のセキュリティパッチプラグインを導入することができます。
TeamCity 2024.03以降を実行しているインスタンスでは、Administration > Updatesの画面からセキュリティパッチを確認できます。
2017.1から2018.1までのバージョンを実行しているサーバーでは、プラグインのインストール後に再起動が必要です。一方、それ以降のリリースでは再起動なしでプラグインを有効化できます。
このパッチプラグインが対応するのはCVE-2026-63077のみであるため、組織は他のセキュリティ修正を取り込むためにも完全なアップグレードを計画しておく必要があります。
Cloudsecurity solutions
多層防御戦略の一環として、JetBrainsはTeamCityへのアクセスを信頼できるネットワークに制限すること、インターネットに面したデプロイをVPNや追加のアクセス制御層の背後に置くこと、必要最小限の権限でサービスを実行すること、そしてTeamCityサーバーをビルドエージェントとは別にホストすることを推奨しています。
警告:20以上の政府機関サイトが企業や市民にマルウェアを配布していました。詳細はこちらの完全な攻撃調査レポートをご覧いただき、自組織の露出状況を確認してください。
翻訳元: https://gbhackers.com/critical-teamcity-flaw/
