米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、JetBrains TeamCity On-Premisesに存在する認証不要のリモートコード実行を可能にする重大な脆弱性CVE-2026-63077を、既知の悪用された脆弱性(KEV)カタログに追加しました。
同庁による悪用状況の評価は「なし」から「積極的」へと引き上げられ、現在この脆弱性は自動化可能かつ技術的影響が最大レベルであると評価されています。
CVE-2026-63077は、信頼できないデータの逆シリアル化に起因する脆弱性(CWE-502)で、分散ビルドエージェントが中央サーバーにジョブ割り当てを問い合わせる際に使用するチャネルである、TeamCityのエージェントポーリングプロトコル内に存在します。
TeamCityサーバーに対してHTTPまたはHTTPSでのネットワークアクセスさえ持つ攻撃者であれば、認証チェックを完全に回避し、認証情報やユーザー操作を必要とせず、TeamCityサーバープロセスの権限で任意のOSコマンドを実行できます。
この脆弱性のCVSS 3.1スコアは最大9.8、CVSS 2.0の基本スコアは10であり、これまでに出荷されたすべてのTeamCity On-Premisesバージョンに影響します。
セキュリティ研究者のAntoni Tremblay氏は2026年7月10日、この問題を非公開でJetBrainsに報告し、同社は2026年7月27日に公式発表を行いました。その時点でJetBrainsは、積極的な悪用の証拠はないとしていました。
しかしCISAが8月5日にKEVへ追加したことで、その前提はもはや成り立たなくなったことが裏付けられました。悪用に成功すると、TeamCityのデータ、設定、保存された認証情報が露出するほか、サーバーの状態が改変され、ビルド成果物やその先のCI/CDパイプラインの整合性が損なわれる恐れがあります。
TeamCityサーバーはソフトウェアのビルド・リリースワークフローの中心に位置することが多いため、侵害されると、影響を受けたインスタンスを通じてビルドされたあらゆるソフトウェアに対するサプライチェーン型攻撃につながりかねません。
インターネットに公開されている状況が、このリスクをさらに増大させています。Censysによれば、脆弱性の公表直後の時点で、インターネットから到達可能なTeamCityのWebプロパティは約4,500件確認されています。
JetBrainsはCVE-2026-63077を、TeamCity 2026.1.3(ビルド222742)およびTeamCity 2025.11.7(ビルド208264)で修正しました。
直ちにアップグレードできない組織向けには、JetBrainsが暫定的なセキュリティパッチプラグインを提供しており、TeamCity 2017.1以降のバージョンに対応しています。バージョン2017.1から2018.1で稼働しているサーバーはパッチ導入後に再起動が必要ですが、2018.2以降であれば再起動なしで適用できます。
CISAは、リスクに基づいてセキュリティ更新の優先順位を定めるBOD 26-04の指針に沿って、連邦政府機関に対し2026年8月8日までの修復を求めています。
緩和策を適用できない機関は、クラウドサービスに関するBOD 26-04の指針に従うか、パッチが提供されていない場合は当該製品の使用を中止する必要があります。すべての関係者は、自組織のTeamCityインスタンスがインターネットにどの程度露出しているか、直ちに評価するよう強く求められています。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化しMTTRを短縮
翻訳元: https://cyberpress.org/cisa-active-exploitation-targeting-jetbrains-teamcity/
