概要

JetBrainsは7月27日、CI/CDツール「TeamCity」On-Premises版に存在する重大な脆弱性CVE-2026-63077を公表した。CVSSスコアは最大値に近い9.8で、認証を一切経ずにHTTP(S)アクセスさえあればTeamCityサーバー上で任意のOSコマンドを実行できるという極めて深刻な内容だ。脆弱性はTeamCityの「エージェントポーリングプロトコル」に起因し、攻撃者はこの経路を通じて認証チェックをバイパスし、TeamCityプロセスの権限でコマンドを実行できる。影響を受けるのはTeamCity On-Premisesの全バージョンで、クラウド版であるTeamCity Cloudは対象外、かつJetBrains側で既に対応済みとされている。脆弱性はセキュリティ研究者のAntoni Tremblay氏によって2026年7月10日に報告され、公表時点で実際の悪用は確認されていない。

技術的な詳細

脆弱性の核心は、TeamCityサーバーとビルドエージェント間の通信に使われるエージェントポーリングプロトコルにある。本来は認証済みエージェントのみが利用できるはずのこの経路を、未認証の攻撃者が悪用することで認証チェックを回避し、サーバー上でOSコマンドを実行できてしまう。攻撃には特別な権限や事前の認証情報が不要で、対象サーバーにHTTP(S)でアクセスできるだけで成立する点が特に危険視されている。JetBrainsのソリューションエンジニアリング責任者であるDaniel Gallo氏は、この脆弱性が悪用された場合「TeamCityのデータ、設定、保存された認証情報の露出、サーバー状態の改変、およびビルドアーティファクトの完全性を損なう可能性がある」と警告しており、単なるサーバー侵害にとどまらずCI/CDパイプライン全体、ひいては下流のソフトウェアサプライチェーンにまで被害が波及しうる。

対応方法と推奨対策

JetBrainsは修正版としてTeamCity 2025.11.7および2026.1.3をリリース済みで、影響を受ける組織にはこれらへの即時アップデートを強く推奨している。バージョン2025.11.7未満で最新版への移行が難しい環境向けには、2017.1以降の古いバージョンにも適用可能なセキュリティパッチプラグインが緊急公開されており、アップグレードまでの暫定的な緩和策として利用できる。加えて記事では、TeamCityサーバーをインターネットに直接公開せず、VPN経由でのみアクセス可能にする、または追加のアクセス制御層を設けるといった多層防御の重要性も指摘されている。

背景と今後の見通し

CI/CDサーバーは、ビルド設定やデプロイ用の認証情報、ソースコードへのアクセス権を持つことから、攻撃者にとって「一点突破で広範な影響を及ぼせる」高価値の標的とされてきた。記事では過去にランサムウェアグループが同種のCI/CDツールの脆弱性を悪用した事例があったことにも触れられており、今回のCVE-2026-63077も同様の攻撃キャンペーンに利用されるリスクが懸念されている。現時点で野生での悪用は報告されていないものの、CVSS 9.8かつ認証不要というスコアの高さから、脆弱性の詳細情報が広まるにつれて悪用が急速に進む可能性が高い。TeamCity On-Premisesを運用する組織は、パッチ適用状況の確認とアクセス制御の見直しを最優先で行うべき局面にある。