「TeamCity」の深刻な脆弱性悪用に注意、対応状況の確認と侵害調査を呼びかけ

JetBrainsが提供する継続的インテグレーション／デプロイメント（CI/CD）ツール「TeamCity」をめぐり、深刻な脆弱性の悪用に注意が呼びかけられている。関係者は、脆弱性対応状況の確認に加え、すでに侵害が発生していないかどうかの調査を行うよう求めている。

事案の詳細

開発やビルドの自動化などで利用される「TeamCity」のオンプレミス版において、認証を必要とせずにリモートからコード実行が可能となるデシリアライゼーションの脆弱性「CVE-2026-63077」が判明している。この脆弱性は「エージェントポーリングプロトコル」を介して、信頼できないデータをデシリアライズすることに起因し、任意のOSコマンド実行につながるおそれがあるとされている。

同脆弱性は2026年7月10日に非公開のもと報告を受けたものであり、JetBrainsはアップデートにより修正を提供している。具体的には、TeamCity 2026.1.3および2025.11.7で修正が行われているとされ、これらより前のバージョンを運用している場合は影響を受ける可能性がある。

共通脆弱性評価システム「CVSS v3.1」のベーススコアは「9.8」と評価されており、重要度は4段階中もっとも高い「クリティカル（Critical）」に分類されている。アドバイザリの公開時点では、当該脆弱性の悪用は確認されていないものの、深刻度の高さから早急な対応が求められている。

今回の注意喚起では、単に注意するだけでなく、各組織が自社環境の対応状況を確認することが重要だとされている。最新バージョンへのアップデートやベンダが推奨する緩和策の適用状況を点検するとともに、脆弱性が悪用されていないかを確認するための侵害調査の実施が呼びかけられている。

あわせて、すでに侵害が発生していないかを確認するための調査も求められている。これは、認証不要でリモートコード実行が可能となるようなクリティカルな脆弱性が存在し、悪用の可能性が示されている局面では、事後的な確認が不可欠であるとの問題意識に基づくものだ。

今回の注意喚起は、脆弱性が実運用環境に与え得る影響を踏まえ、利用者側に点検と調査を促す内容となっている。対象となる組織は、運用中の「TeamCity」について、バージョンや公開範囲など現時点の状態を把握し、必要なアップデートや設定変更などの対応が行われているかを確認することが求められる。

影響と背景

「TeamCity」は、ソフトウェアのビルドやテスト、デプロイなど開発・運用の工程で広く利用されるCI/CDツールであり、脆弱性が悪用されると、業務システムや開発環境に重大な影響が及ぶ可能性がある。TeamCityサーバが侵害された場合、攻撃者はプロジェクトやビルド設定、エージェント、成果物（アーティファクト）などを不正に制御し、ソースコードへの改ざん、マルウェア混入、認証情報窃取などにつなげることが懸念される。

これまでにも「TeamCity」に関しては、認証回避やパストラバーサルなど複数の深刻な脆弱性が報告されており、一部については実際に悪用が確認されているものもある。こうした経緯から、今回の「CVE-2026-63077」についても、悪用が公に確認されていない段階であっても、早期の対処と侵害有無の確認が重要と考えられている。

今回の呼びかけは、こうした利用実態や過去の悪用事例を踏まえ、脆弱性対応の有無だけでなく、侵害調査まで含めて確認する必要がある点を示している。とくに、インターネット経由でアクセス可能なTeamCityサーバや、社外ネットワークから到達可能な環境については、優先的な点検とログ解析などの調査が求められる。

対策・今後の展望

• 対応状況の確認：「TeamCity」を利用しているかどうかをまず確認し、利用している場合はバージョンや公開範囲（インターネットからの到達可否など）を含めた現在の対応状況を点検する。脆弱性が修正されたバージョンへのアップデートや、ベンダアドバイザリで推奨される設定の適用状況を確認する。
• 侵害調査の実施：脆弱性の悪用を前提に、TeamCityサーバや関連する開発環境において、侵害の痕跡がないか調査する。アクセスログや認証ログ、ビルド履歴、構成変更履歴などを確認し、不審なアクセスや設定変更、未知のジョブやスクリプトの追加などがないかを点検する。詳細な侵害の有無については、環境ごとのログ保全状況や監視体制に依存するため、必要に応じて「詳細は現時点で不明」とせざるを得ない場合もある。
• 継続的な点検：今回の注意喚起の内容を踏まえ、TeamCityを含む開発・ビルド系ツールについて、資産管理・パッチ管理の対象に適切に含めるなど、運用環境の状態把握と点検を継続する。新たな脆弱性情報やベンダアドバイザリが公開された場合に迅速に対応できるよう、情報収集と更新手順を整備しておくことが望ましい。

CSRIセキュリティ専門家の見解

実際の診断現場では、CI/CDやビルド系ツールが「開発部門の管理」として棚上げされ、資産台帳やパッチ管理の対象から漏れる例が少なくないと指摘されている。こうした環境では、脆弱性が判明しても対象システムの存在自体が把握されておらず、対応が遅れることがある。

中小企業を含む組織がまず確認すべきは、社内に「TeamCity」が存在するかどうか、存在する場合はインターネットや社外ネットワークから到達可能な場所に置かれていないか、そしてバージョンや設定を含めた対応状況とあわせて、侵害調査を実施したかどうかである。これらの確認と調査を通じて、開発環境を狙った攻撃に対するリスクを低減することが期待される。

参照: 「TeamCity」の脆弱性悪用に注意 – 対応状況の確認や侵害調査を