ハッカーがJetBrains TeamCityの最新の脆弱性を悪用開始

米国のサイバーセキュリティ機関CISAは、脅威アクターがJetBrains TeamCityで最近パッチが適用されたばかりの脆弱性の悪用を開始したと警告しています。

継続的インテグレーション・継続的デリバリー(CI/CD)プラットフォームであるTeamCityは、ソフトウェアのビルドとデプロイを自動化するもので、企業のワークフロー、コラボレーション、開発プラクティスの中核を担うコンポーネントです。

CVE-2026-63077(CVSSスコア9.8)として追跡されているこの深刻なセキュリティ上の欠陥は、信頼できないデータのデシリアライゼーションに関連するもので、認証を受けていない攻撃者がHTTP/Sリクエストを介してリモートコード実行(RCE)を達成することを可能にします。

この脆弱性はTeamCity On-Premisesの全バージョンに影響し、攻撃者が「認証チェックを回避し、TeamCityサーバープロセスの権限で任意のオペレーティングシステムコマンドを実行する」ことを可能にすると、JetBrainsは先週警告しました。

この問題に対するパッチは、TeamCityバージョン2025.11.7および2026.1.3に含まれています。また、バージョン2017.1以降向けのセキュリティパッチプラグインもリリースされました。

JetBrainsは「認証を受けていない攻撃者は、TeamCityエージェントのポーリングプロトコルを介してこの脆弱性を悪用する可能性があります」と述べ、各組織に対しTeamCity On-Premises環境へのパッチ適用をできるだけ早く行うよう呼びかけています。

JetBrainsはアドバイザリの中で、このセキュリティ上の欠陥は非公開で報告されたものであり、現時点で実際の悪用は確認されていないと述べています。

水曜日、脆弱性の公開からおよそ1週間後、CISAはCVE-2026-63077を既知の悪用された脆弱性(KEV)カタログに追加し、BOD 26-04で義務付けられている通り、連邦政府機関に対して3日以内のパッチ適用を求めています。

この脆弱性を悪用した攻撃について、現時点で公開されている情報は見当たりません。