CVE-2026-63077が積極悪用、JetBrains TeamCityのCI/CDパイプライン全体に侵入リスク——CISAが緊急対応を命令

2026年8月10日

登場人物紹介

チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。

ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo

「TeamCityを使っているけど、今回の脆弱性の影響を受けているのか分からない」
「CISAのKEVに追加されたって聞いたけど、うちは対応が必要なの？」

チップス

ボスボス！JetBrainsのTeamCityにやばい脆弱性が出たって聞いたんでしゅ！パスワードなしでサーバーに入れるって本当でしゅか？

ボス

本当だ。CVE-2026-63077——CVSS 9.8の最重大クラスだ。CISAが既知悪用脆弱性カタログに追加し、連邦機関には8月8日までの修正を命じた。他人事と思っていたら危ないぞ。

CI/CDインフラを狙った攻撃への不安は尽きないものです。
この記事では、CVE-2026-63077がどのような仕組みで悪用されるのか、そしてどう対応すべきかを整理します。

JetBrains TeamCity On-Premisesに認証不要のRCE脆弱性（CVE-2026-63077、CVSS 9.8）が発覚し、実環境で悪用が確認された
攻撃者はエージェントポーリングプロトコルを悪用してOSコマンドを実行でき、CI/CDサプライチェーン全体が危険にさらされる
CISAがKEVカタログに追加。バージョン2025.11.7・2026.1.3へのアップグレードが急務

脆弱性の仕組みと対応策を押さえることで、自社のCI/CD環境を守るための判断材料が手に入ります。

オススメ案件

新着案件をもっと見る

CVE-2026-63077とは——パスワードなしでサーバーを制御できる欠陥

JetBrains TeamCity On-Premisesに、信頼できないデータのデシリアライゼーションを起因とするリモートコード実行（RCE）脆弱性が確認されました。
CVSSスコアは9.8と最重大クラスで、認証不要・ユーザー操作不要のため、インターネットに露出したインスタンスは特に危険な状態にあります。

攻撃者はどこから侵入するのか

攻撃の入口は「TeamCityエージェントポーリングプロトコル」です。
通常、TeamCityのエージェント（ビルドを実行するノード）はサーバーに対して定期的にポーリングを行い、ジョブを取得します。
CVE-2026-63077では、このプロトコルの処理に欠陥があり、悪意ある要求を送るだけで認証をすり抜け、サーバープロセスの権限でOSコマンドを実行できます。

成功した攻撃で可能になることは以下のとおりです。

TeamCityに保存された認証情報・シークレットの窃取
ビルド設定・成果物の改ざん
下流CI/CDパイプライン全体への不正コードの注入
ランサムウェア展開やバックドア設置のための足がかり確立

チップス

ビルドサーバーって地味に重要なんでしゅね！攻撃されると本番コードまで汚染されちゃうんでしゅか？

ボス

そのとおりだ。CI/CDサーバーはソフトウェアの製造ラインそのものだ。そこを押さえれば、出荷するコード全てに手を入れられる。だからこそ最重大扱いなんだ。

影響バージョンと今すぐ取るべき対応

本脆弱性はTeamCity On-Premisesの全バージョンに影響します。
TeamCity Cloudは既にJetBrainsが対処済みで、クラウド利用者の追加対応は不要です。

バージョン系列	脆弱バージョン	修正済みバージョン
2026.1系	2026.1.2以前	2026.1.3（ビルド222742）
2025.11系	2025.11.6以前	2025.11.7（ビルド208264）

本脆弱性はセキュリティ研究者のAntoni Tremblay氏が7月初旬に非公開で報告し、JetBrainsがパッチをリリースしました。
その後CISAが2026年8月5日に既知悪用脆弱性（KEV）カタログへ追加し、米国の連邦民間機関（FCEB）に対して8月8日（BOD 26-04）までのパッチ適用を義務付けています。

CI/CDパイプラインが狙われる理由——サプライチェーン攻撃の温床

TeamCityのようなCI/CDサーバーへの攻撃が近年急増している背景には、攻撃対効果の高さがあります。
ビルドサーバーは開発環境と本番環境の双方にアクセスでき、シークレットやAPIキーを多数保有しているためです。

ビルドサーバーが侵害されると何が起きるか

攻撃者がCI/CDサーバーに侵入した際の典型的な流れは以下のとおりです。

保存された本番環境のクレデンシャルを用いてクラウドリソースへ横移動
ビルドスクリプトに悪意あるコードを挿入し、成果物（コンテナイメージ・パッケージ）を汚染
サプライチェーン経由で最終的なユーザーへマルウェアを配布
ランサムウェアをデプロイして開発・本番環境を一括暗号化

ボス

2020年のSolarWindsサプライチェーン攻撃も、根本はCI/CDへの不正アクセスが出発点だった。ビルドサーバーをフラットなネットワークに置いておくのは危険極まりないぞ。

チップス

じゃあ、TeamCityをすぐアップデートするのはもちろんとして、ほかにも気をつけることがあるんでしゅか？

パッチ以外に確認すべき点

脆弱性対応と並行して、以下の点を確認することを推奨します。

TeamCityのポート（デフォルト8111）をインターネットに直接公開していないか確認
不審なビルドジョブや設定変更がログに残っていないか調査
保存されたクレデンシャル（GitHub・AWS・Docker等）の侵害の有無を確認し、必要に応じてローテーション
JetBrains公式のセキュリティアドバイザリを参照して最新情報を確認

まとめ

CVE-2026-63077は、認証なしで任意のOSコマンドを実行できる最重大クラスの脆弱性です。
CI/CDサーバーはソフトウェアサプライチェーンの中核であり、侵害されれば本番コードの汚染やクレデンシャル窃取が直結します。
TeamCity On-Premisesを利用している組織は、v2025.11.7またはv2026.1.3への速やかなアップグレードが必須です。

ボス

パッチを当てるだけでは終わりではないぞ。CI/CDサーバーへのアクセス制御、ネットワーク分離、ビルドログの定期確認——この三点をセットで取り組むことだ。