JetBrainsはTeamCity On-Premisesに影響する重大な脆弱性(CVE-2026-63077)を修正し、セルフホスト型サーバーの管理者に対して可能な限り速やかにアップグレードするよう呼びかけています。
「アップグレードができない環境向けに、セキュリティパッチプラグインをリリースしました」と、JetBrainsのソリューションエンジニアリング責任者であるDaniel Gallo氏は述べています。
攻撃対象になり得るTeamCity
JetBrains TeamCityは、広く利用されている継続的インテグレーション/継続的デリバリー(CI/CD)サーバーソリューションです。
JetBrainsがホストするオプション(TeamCity Cloud)として利用することも、顧客自身のハードウェアやプライベート/パブリッククラウド上でセルフホストして管理する(TeamCity On-Premises)ことも可能です。
国家support型のハッキンググループやランサムウェアのアフィリエイトが、未パッチのTeamCity On-Premisesサーバーの脆弱性を悪用してきたことが過去に確認されています。
CVE-2026-63077について
セキュリティ研究者のAntoni Tremblay氏が今月初めに発見し非公開で報告したCVE-2026-63077は、TeamCityのエージェントポーリングプロトコル経由で悪用可能であり、攻撃者が認証チェックを回避し、TeamCityサーバープロセスの権限でOSコマンドを実行できるようになる可能性があります。
「TeamCityサーバープロセスに付与されている権限次第では、攻撃が成功した場合にTeamCityのデータ、設定、保存済み認証情報が漏えいし、サーバーの状態が改ざんされ、さらにはビルド成果物や下流のCI/CDパイプラインの整合性が損なわれる恐れがあります」と、Gallo氏は説明しています。
JetBrainsはTeamCity Cloud環境向けにはすでに修正を適用済みで、CVE-2026-63077がTeamCity On-Premisesの全バージョンに影響することから、顧客にもセルフホスト環境で同様の対応を行うよう呼びかけています。
同社は、TeamCity Cloud環境について悪用の兆候がないか確認を行い、その痕跡は見つからなかったとしています。
「本アドバイザリの公開時点で、この脆弱性が実際に悪用された事例は確認されていません」と同社は付け加えています。
対応方法
TeamCity On-Premisesを利用している顧客は、バージョン2025.11.7または2026.1.3へアップグレードするか、v2017.1以降を実行している場合はセキュリティパッチプラグインを導入する必要があります。
TeamCity v2017.1からv2018.1を実行している環境では、パッチ導入後にサーバーの再起動が必要ですが、TeamCity v2018.2以降では管理者はその手順なしでプラグインを有効化できます。
この脆弱性および類似の脆弱性による悪用リスクを軽減するため、JetBrainsは可能であればTeamCityサーバーへのネットワークアクセスを信頼できるネットワークに限定するか、インターネットに公開しているTeamCityサーバーについてはVPN接続を必須にする、あるいは追加のセキュリティレイヤーを実装することでアクセスを制限するよう推奨しています。
「TeamCityのログイン画面やREST APIを公開しているだけでも、攻撃者に新たに公表された脆弱性を悪用するための潜在的な侵入口を与えかねません」と同社は指摘しています。
「また、TeamCityサーバーは通常運用に必要な最小限のオペレーティングシステム権限で稼働させることも推奨します。」
翻訳元: https://www.helpnetsecurity.com/2026/07/28/teamcity-rce-cve-2026-63077-fixed/
