JetBrains TeamCityに認証不要RCE、CVSS9.8で悪用進行中

JetBrains の CI/CD ツール「TeamCity」オンプレミス版に、認証を一切必要とせずリモートでOSコマンドを実行できる脆弱性 CVE-2026-63077 が見つかった。CVSSスコアは満点に近い9.8。JetBrainsは7月末に修正版を出したが、8月に入って実際の悪用が確認され、米CISAは8月5日付で既知悪用脆弱性(KEV)カタログに追加した。すでにRapid7がエクスプロイトコードを公開しており、攻撃のハードルはさらに下がっている。

認証もクリックも不要でサーバーが陥落する #

問題の場所は、ビルドエージェントとサーバーが通信する「エージェントポーリングプロトコル」だ。攻撃者が細工したペイロードを送りつけると、サーバー側が中身を検証しないままデシリアライズしてしまい、埋め込まれたガジェットが発火してOSコマンドがTeamCityサーバーのプロセス権限でそのまま実行される。認証情報もユーザーの操作も要らず、必要なのはネットワーク経路だけ。攻撃条件の低さが、悪用拡大の速さに直結している。

CI/CDの陥落は「サプライチェーン攻撃」の入り口 #

TeamCityはソースコードのビルドとデプロイを一手に担う中枢システムだ。ここが奪われると、保存された認証情報や設定が盗まれるだけでなく、ビルド成果物そのものに悪意あるコードを混入させられる。攻撃者が入り込むのは開発チームのサーバーだが、被害はそのソフトウェアを使う下流の顧客にまで連鎖しうる。ビルドパイプラインの侵害はSolarWinds事件以来何度も繰り返されてきた典型的なサプライチェーン攻撃の型であり、単なる1台のサーバー侵害以上に射程が広い。

対策はJetBrainsが公開済みの修正版(2026.1.3 / 2025.11.7)への即時アップデート、または2017.1以降で提供されるセキュリティパッチプラグインの適用だ。TeamCityをインターネットに公開している組織は特に優先度を上げるべきで、Cloud版は対象外となっている。