JetBrains TeamCity On-Premisesに存在する重大なリモートコード実行の脆弱性により、サーバーが未認証のまま侵害される危険にさらされています。攻撃者は正規の認証情報を持たなくても任意のコマンドを実行できてしまいます。
この欠陥はCVE-2026-63077として追跡されており、TeamCityのオンプレミス版全体に影響し、CI/CD環境を完全に侵害しうることから重大(critical)レベルの深刻度が割り当てられています。
この脆弱性により、TeamCityサーバーにHTTPまたはHTTPSでアクセスできる攻撃者は認証メカニズムを回避し、TeamCityサーバープロセスの権限でオペレーティングシステムのコマンドを実行できてしまいます。
これにより、機密性の高い設定データや認証情報、ビルドパイプラインへのアクセスを含め、アプリケーション環境を事実上完全に制御できる状態になります。
この問題は2026年7月10日、セキュリティ研究者のAntoni Tremblay氏による協調的な開示プロセスの一環として、非公開で報告されました。JetBrainsはその後、脆弱性に対処したパッチ適用版バージョン2025.11.7および2026.1.3をリリースしています。
即座のアップグレードが難しい環境向けには、JetBrainsが2017.1以降のTeamCityバージョンに対応するセキュリティパッチプラグインを提供しています。
このプラグインはCVE-2026-63077に直接対処するものですが、同社は最新版に含まれるその他のセキュリティ改善点を踏まえ、最新バージョンへのアップグレードが長期的には最も効果的な対策であると強調しています。
技術的な分析によると、この欠陥はTeamCityエージェントのポーリングプロトコル経由で悪用可能であり、攻撃者は認証チェックを完全に回避できてしまいます。悪用に正規の認証情報が不要であるため、インターネットに公開されたTeamCityインスタンスは特に危険な状態にあります。
悪用に成功すると、攻撃者はビルドプロセスを操作したり、ソフトウェア成果物に悪意のあるコードを注入したり、CI/CDシステム内に保存された機密データを窃取したりできる可能性があります。
その影響はTeamCityサーバー自体にとどまりません。ビルドパイプラインが侵害されると、信頼されたソフトウェアリリースを通じて悪意のあるコードが拡散する、下流のサプライチェーン攻撃につながるおそれがあります。これにより、自動化されたビルド・デプロイ作業をTeamCityに依存している組織にとって、この脆弱性は特に危険なものとなっています。
JetBrainsが確認したところによると、TeamCity Cloud環境については必要な緩和策が既に適用済みであるため影響を受けないとのことです。また、開示時点では実際に悪用された形跡は確認されていません。
とはいえ、この欠陥は悪用が容易かつ深刻度が高いことから、脅威アクターが脆弱なシステムを早期に狙う可能性が高いと考えられます。セキュリティのベストプラクティスとしては、特にインターネットに公開されているTeamCityサーバーについて、ネットワークアクセスを制限することが推奨されます。
VPNアクセスの導入、ログインインターフェースやAPIの外部露出の制限、そして最小限のオペレーティングシステム権限でのサーバー運用により、攻撃対象領域を大幅に減らすことができます。
組織はCVE-2026-63077を優先度の高い対応事項として扱うべきです。即座のパッチ適用またはプラグイン導入に加え、ネットワークレベルでの保護策を組み合わせることが、不正アクセスや、脆弱なCI/CDインフラに起因するサプライチェーン侵害の可能性を防ぐために不可欠です。
SOCの調査における死角を削減し、脅威をより早期に封じ込めることで、ANY.RUNを活用して対応コストと業務への支障を軽減できます。
翻訳元: https://cyberpress.org/critical-teamcity-flaw-execute-commands-remotely/
