米国土安全保障省（DHS）傘下のサイバーセキュリティ・社会基盤安全保障庁（CISA）は、JetBrainsのオンプレミス向けCI/CD製品「TeamCity」に存在する脆弱性が、実際に悪用されているとして注意を呼びかけた。対象はCVE-2026-63077で、認証不要の攻撃者がTeamCityサーバーにHTTP(S)で到達できる場合、認証回避を経て任意のOSコマンドを実行できるおそれがある。
事案の詳細
CISAによる注意喚起は、TeamCity On-Premisesにおける重大な脆弱性「CVE-2026-63077」を対象としている。JetBrainsの説明によると、この問題は信頼されていないデータのデシリアライズに起因し、TeamCityのエージェント・ポーリング・プロトコルを悪用することで、認証なしに攻撃者がOSコマンドを実行できる可能性がある。
この脆弱性は、TeamCityサーバーにHTTPまたはHTTPSで到達できる攻撃者によって利用可能とされ、攻撃が成功した場合はTeamCityサーバープロセスの権限で任意のコマンドが実行される。JetBrainsはこの問題をTeamCity 2025.11.7および2026.1.3で修正しており、2017.1以降向けの公式セキュリティパッチプラグインも提供しているが、同社は完全な更新の代替ではないと案内している。
現時点で、被害の規模や具体的な侵害件数、標的組織の詳細は公開情報からは確認できない。ただしCISAが既に「in the wild」での悪用に言及しているため、TeamCityを運用する組織には速やかな更新対応が求められる。
影響と背景
TeamCityはビルド、テスト、デプロイを自動化するCI/CD基盤として広く利用されており、ここに認証回避やRCE（遠隔コード実行）につながる脆弱性が存在すると、開発基盤そのものが侵害されるリスクがある。とくにオンプレミス環境では、開発資産やビルドパイプライン、認証情報が集中しやすく、攻撃者にとって価値の高い標的となる。
今回の注意喚起は、開発・運用基盤が通常の業務サーバー以上に高い権限や広範な接続先を持つことから、脆弱性が放置された場合の影響が大きいことを示している。TeamCityのようなCI/CD製品は、社内システムの中でも特に更新漏れが起きやすいため、資産把握と緊急パッチ適用が重要になる。
対策・今後の展望
- 利用状況の把握：自社でTeamCity On-Premisesを利用しているか確認し、該当するバージョンと公開範囲を整理する。
- 脆弱性への対応：JetBrainsが提供する修正版であるTeamCity 2025.11.7または2026.1.3へ更新する。直ちに更新できない場合は、公式セキュリティパッチプラグインの適用を検討する。
- 監視と点検：TeamCityサーバーへのHTTP(S)到達経路、認証の挙動、エージェント・ポーリング関連の不審な通信やコマンド実行の兆候を継続的に確認する。
- 資産管理の徹底：開発基盤を棚卸しし、外部公開の有無、管理画面のアクセス制御、更新担当者を明確にしてパッチ遅延を防ぐ。
CSRIセキュリティ専門家の見解
実際の診断現場では、TeamCityのような開発系サーバーが「社内向け」として長期運用され、更新や資産台帳から漏れている例が少なくありません。中小企業がまず確認すべきは、開発サーバーの外部公開有無と管理画面への到達経路、運用担当の不在によるパッチ遅延です。開発基盤も業務基盤と同じ優先度で棚卸しし、更新手順を平時に整備することが再発防止につながります。
参考：公式情報・アドバイザリ
- CVE-2026-63077: NVD (NIST) / JVN検索
上記は本記事に関連する公式セキュリティ情報です。詳細は各機関の公式サイトをご確認ください。