JetBrainsは、TeamCity On-Premisesに存在する重大なセキュリティ脆弱性を公表しました。この脆弱性を悪用すると、対象サーバー上で認証不要のリモートコード実行(RCE)が可能になります。HTTP(S)経由で公開されているCI/CD環境にとって、重大なリスクとなります。
Hacking& Cracking
この脆弱性はCVE-2026-63077として追跡されており、TeamCity On-Premisesのサポート対象バージョンすべてに影響します。ネットワークアクセス権を持つ攻撃者は認証チェックを回避し、TeamCityサーバープロセスの権限で任意のオペレーティングシステムコマンドを実行できてしまいます。
TeamCityはソフトウェア配信パイプラインにおいて中枢的な自動化基盤として機能することが多いため、この脆弱性はセキュリティ侵害が発生した際の潜在的な影響を大幅に増大させます。
ジェットブレインズTeamCityの重大な欠陥
JetBrainsのアドバイザリによると、この脆弱性はTeamCityがエージェントのポーリングプロトコルを処理する方法に起因しています。認証を経ていない攻撃者は、この欠陥を悪用して標準の認証制御を回避できます。
脆弱性が悪用されると、攻撃者は基盤となるホスト上で任意のコマンドを実行できるようになり、ビルド構成や保存済みの認証情報、CI/CDシステムが管理する機密性の高いプロジェクトデータが露出する恐れがあります。
このような攻撃がもたらす影響には、サーバー状態の不正な変更、ビルドパイプラインへの改ざん、下流環境への悪意あるアーティファクトの混入などが含まれ、組織のソフトウェアサプライチェーン全体に連鎖的な影響を及ぼしかねません。
JetBrainsの報告によると、この問題はセキュリティ研究者のAntoni Tremblay氏によって、協調的な脆弱性開示プロセスの一環として2026年7月10日に非公開で報告されました。
本記事の公開時点で、JetBrainsはTeamCity Cloud環境に対する積極的な悪用の証拠はないとしています。同社はホスティングされているこのサービスについて、すでに緩和策を実施済みであることを確認しています。
しかし、オンプレミス環境での導入分については、特にTeamCityサーバーがインターネットや信頼できないネットワークからアクセス可能な状態にある場合、パッチが適用されるまで脆弱性が残ることになります。
この脆弱性は、TeamCityバージョン2025.11.7および2026.1.3で修正されています。JetBrainsは、主要な緩和策として、これらいずれかのバージョンへのアップグレードを強く顧客に呼びかけています。
すぐにアップデートできない組織向けには、CVE-2026-63077に特化した専用のセキュリティパッチプラグインがTeamCityバージョン2017.1以降向けにリリースされています。
さらに、TeamCity 2024.03以降の新しいリリースでは、プラットフォームが利用可能なセキュリティパッチプラグインを自動的に取得して管理者に通知できるため、管理者は組み込みの更新機能を通じてこれらを適用できます。
JetBrainsは、このプラグインが今回の特定の欠陥に対応するものである一方、より広範なセキュリティ強化を受けるためにはアップグレードが依然として重要であると強調しています。
予防策として、JetBrainsはTeamCityサーバーへのネットワークアクセスを信頼できるネットワークやVPN利用者に制限し、ログインページやREST APIを公開インターネット上に直接露出させないよう推奨しています。
また、TeamCityサーバーを最小限のオペレーティングシステム権限で稼働させ、ビルドエージェントとは別の専用インフラでホストすることも推奨されています。
これにより、侵害が発生した場合でも攻撃者が横展開する能力を制限できます。今回のインシデントは、CI/CDプラットフォームが攻撃者にとって戦略的価値を持つことを浮き彫りにしています。ビルド・デプロイインフラを取り巻く継続的なパッチ適用、厳格なアクセス制御、そしてアーキテクチャ上の分離の重要性を改めて示す事例と言えるでしょう。
警告:20以上の政府系サイトが企業や市民にマルウェアを配布していました。 攻撃に関する詳細な調査結果を見る ことで、自組織の露出状況を確認できます。
Malwareremoval service
翻訳元: https://gbhackers.com/critical-jetbrains-teamcity-flaw/
