JetBrains、TeamCityオンプレミス版の重大な脆弱性を修正

ビルドシステムが世間の注目を集めることはめったにありませんが、不正アクセスを許してしまえば、ソースコードや認証情報、コンパイル済みソフトウェアへの直接的な侵入経路となります。こうした深刻な脅威を受け、JetBrainsはすべてのTeamCityオンプレミス版に存在する重大な欠陥に対処する緊急セキュリティアップデートをリリースしました。

CVE-2026-63077の詳細と深刻な影響

CVE-2026-63077として識別されるこの脆弱性は、CVSS 3.1で満点に近い9.8という深刻度スコアを記録しています。この脆弱性により、認証されていないリモート攻撃者がTeamCityのエージェントポーリングプロトコルを介して認証機構を回避できてしまいます。その結果、攻撃者はHTTPまたはHTTPS経由でサーバーにアクセスするだけで、TeamCityプロセスの権限で任意のOSコマンドを実行できるようになります。

侵害に成功すると、サーバーの構成データや保存された認証情報、機密情報が露出する恐れがあります。さらに攻撃者はシステムの状態を操作し、ビルド成果物を改ざんし、ソフトウェアのテストやデプロイに使われるダウンストリームのCI/CDパイプラインを侵害することも可能です。

影響を受けるバージョンと公式の緩和策

この脆弱性は、ローカル環境で稼働するすべてのTeamCityインストールに影響します。JetBrainsはバージョン2025.11.7および2026.1.3でこの問題を解決しました。TeamCity 2017.1以降を稼働させていて直ちにアップグレードできない環境向けに、同社はスタンドアロンのセキュリティプラグインをリリースしています。CVE-2026-63077に関するJetBrainsのセキュリティアドバイザリによると、このプラグインはこの脆弱性を特に緩和するものであり、ソフトウェアの完全なアップデートに代わるものではないとしています。

発見の経緯と推奨される防御策

セキュリティ研究者のAnthony Tremblay氏は、2026年7月10日に協調的な脆弱性開示プロトコルに基づき、この脆弱性をJetBrainsに報告しました。現時点でJetBrainsは、実際の悪用が確認された証拠はないと報告しています。また、TeamCity Cloudの顧客については保護対策が自動的に適用されているため、対応の必要はありません。

管理者は、TeamCityオンプレミス版のインストールを直ちにバージョン2025.11.7または2026.1.3にアップデートするか、セキュリティプラグインをインストールする必要があります。加えて、組織はサーバーへのアクセスを信頼できるネットワークやVPNに限定し、TeamCityを最小限のプロセス権限で稼働させ、サーバーインフラをビルドエージェントから分離することも推奨されます。