概要
JetBrainsは9月5日、自社が提供するクラウドコンピューティングサービス「Cadence」が不正アクセスを受け、AWS認証情報やソースコード、設定ファイルなどが窃取されたと公表した。侵入の突破口となったのは、自社のCI/CDプラットフォーム「TeamCity」に存在する未パッチの重大脆弱性CVE-2026-63077(CVSS 9.8)。攻撃者はエージェントポーリングプロトコルを介してこの脆弱性を悪用し、api.cadence.jetbrains.comのTeamCityサーバープロセスとして任意のOSコマンドを実行した。開発ツールベンダー自身が自社製品の未パッチ脆弱性によって侵害されたという構図であり、ソフトウェアサプライチェーン全体へのリスクとして注目されている。
侵害の経緯
CVE-2026-63077はTeamCity On-Premisesの2025.11.7または2026.1.3より前のバージョンに存在する、認証不要でリモートコード実行が可能なデシリアライゼーションの脆弱性で、今年7月に公開された。米CISAは8月5日、既知の悪用された脆弱性(KEV)カタログにこれを追加している。攻撃は8月8日から24日にかけて行われたとみられ、JetBrainsが不審な活動を検知したのは8月23日。翌24日に対象サーバーをオフラインにし、28日にCVEの悪用を確認、31日には攻撃者が2024年時点のCadenceサーバーバックアップにアクセスしていたことを確認した。9月3日にはクラウドストレージ上のデータ露出も確認され、調査が完了している。
窃取されたデータと影響範囲
攻撃者が入手したデータは多岐にわたる。ユーザー名や実名、メールアドレス、最終ログイン日時、IPアドレスといったアカウント情報に加え、複数のAWS IAMユーザーとその認証情報、S3バケット内のファイル、Slackトークンやサイニング証明書などの設定・シークレット情報、さらにはPyCharm経由で同期されていたプロジェクトのソースコードも含まれるとみられる。CadenceはPyCharmから直接クラウドGPU上で機械学習や計算負荷の高いワークロードを実行できるJetBrainsのホスト型サービスであり、TeamCityと同様にリポジトリや依存関係、パッケージレジストリ、デプロイシステムへのアクセス権を持つことから、攻撃者にとって価値の高い標的となっていた。
JetBrainsの対応と今後の懸念
JetBrainsは影響を受けたバージョンに対する修正パッチをすでに公開しており、ユーザーに対して2025.11.7または2026.1.3への即時アップデートを呼びかけている。あわせて、Cadenceのプラグインアクセストークンをすべて無効化したほか、ユーザーに対しても「すべての認証情報とシークレットを直ちに失効あるいはローテーションする」こと、Cadence経由の実行結果は「潜在的に信頼できないもの」として扱うことを推奨した。一方でJetBrainsは、当該サーバーが本来パッチ適用済みであるべきだったと認めつつも、なぜパッチ適用が行われていなかったのかについては明確な説明をしていない。今回の侵害を受け、フィッシングやなりすまし、窃取されたAWS認証情報を足がかりにしたクラウド環境への横展開、さらにはソースコード流出を悪用したサプライチェーン攻撃のリスクが懸念されており、Cadenceと接続していた組織には関連システムの監査が求められている。