JetBrains HubとYouTrackに認証バイパス・アカウント乗っ取りの深刻脆弱性3件が判明、CI/CD環境全体に連鎖侵害リスク

2026年7月6日

登場人物紹介

チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。

ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo

「JetBrainsのパッチって毎回多いけど、今回は本当に危険なの？」
「HubってCI/CDと連携してるけど、乗っ取られたらどこまで被害が広がるの？」

チップス

ボス！JetBrains製品の脆弱性3件って出ましたでしゅよね。CVSS 9.8って最大級でしゅか？

ボス

そうだ。未認証でアカウントを乗っ取れる内容だ。HubはSSO基盤だから、侵害されるとCI/CDパイプラインや全IDEに波及する。単なるパッチ通知として軽く見てはいけない。

開発ツールへの攻撃は、直接ユーザーを狙うケースとは異なります。
CI/CDパイプラインに一度侵入されると、デプロイされるコード自体が改ざんされる可能性があります。
この記事では、JetBrains Hubに見つかった3件の脆弱性と、企業が取るべき対応を解説します。

CVE-2026-56141（CVSS 9.8）は未認証でアカウントを乗っ取れる最重大脆弱性
HubのSSO連携を悪用しTeamCityやIDEまで侵害が連鎖するリスクがある
自社でHub/YouTrackを運用する場合はHub 2026.1.13757以降への即時更新が必要

Hubを使っている開発チームや情シス担当者は、パッチ適用を最優先で進めるべき内容です。

オススメ案件

新着案件をもっと見る

JetBrains Hubに3件の深刻脆弱性、2026年7月2日に公開

JetBrainsが開発するプロジェクト管理・認証基盤ツール「Hub」に、アカウント乗っ取りから権限昇格まで連鎖する3件の脆弱性が判明しました。

3件のCVEと攻撃手法

2026年7月2日に公開された脆弱性は、それぞれ異なる攻撃経路を持ちます。
最も深刻なCVE-2026-56141はCVSS 9.8と評価され、認証なしに攻撃が成立します。
各脆弱性の詳細は以下の通りです。

CVE番号	脆弱性の種類	攻撃者の前提条件
CVE-2026-56141	予測可能な復旧コードによるアカウント乗っ取り（CVSS 9.8）	認証不要
CVE-2026-50242	DBロジック悪用による認証バイパスで管理者権限取得	認証不要
CVE-2026-56142	認証情報の不正操作による権限昇格	低権限アカウントが必要

CVE-2026-56141は乱数生成の欠陥（CWE-338）が原因で、アカウント復旧コードをパターンから推測できてしまいます。
攻撃者はコードを総当たりして、管理者アカウントを含む任意のアカウントを奪取できます。

チップス

復旧コードが予測できるって、どういうことでしゅか？パスワードを忘れたときのやつでしゅよね？

ボス

そうだ。「ランダムに見えて実はパターンが読める」コードが生成される。攻撃者はそれを総当たりして正しいコードを特定し、パスワードなしでアカウントを乗っ取れる。

影響を受ける製品と修正バージョン

Hubは複数のJetBrains製品のシングルサインオン（SSO）基盤として機能しているため、影響は広範囲に及びます。
クラウドホスト版はJetBrains側での対応済みですが、オンプレミス運用の場合は管理者が手動でアップデートする必要があります。
影響を受ける主な製品は次の通りです。

JetBrains Hub（直接の影響先）
YouTrack（CVE-2026-50242が同様に適用）
TeamCity（Hub経由でCI/CDパイプラインが侵害される）
IntelliJ IDEA・GoLand（HubのSSO経由で連鎖的に影響）

修正済みバージョンはHub 2026.1.13757です。
LTS版（2025.x・2024.x系）にもバックポートが提供されており、どの世代の利用者も対応できます。

認証バイパスからCI/CDへの連鎖が最大のリスク

3件の脆弱性はそれぞれ独立していますが、組み合わせることでより深刻な連鎖攻撃が成立します。

Hubを起点とする攻撃シナリオ

HubはJetBrainsエコシステム全体の認証ゲートウェイです。
ここを制圧すると、連携している全サービスへのアクセスが開かれます。
具体的な攻撃の流れは次の通りです。

STEP

CVE-2026-56141でHub管理者アカウントを乗っ取る

未認証の攻撃者が復旧コードを総当たりし、管理者権限を取得します。

STEP

SSO経由でTeamCityやIDEへ侵入

Hub管理者権限を使い、連携するTeamCityやIntelliJ IDEのセッションを掌握します。

STEP

ビルドスクリプトや成果物にバックドアを埋め込む

CI/CDパイプラインを改ざんし、本番環境へ悪意のあるコードをデプロイします。

チップス

CI/CDが改ざんされると、本番のアプリにバックドアが入るってことでしゅか？怖すぎるでしゅ……

ボス

その通りだ。開発ツールへの攻撃は最終的に製品コードそのものを汚染する。利用するエンドユーザーにまで被害が連鎖するサプライチェーン攻撃になりうる点が、本当の恐ろしさだ。

オンプレミス運用のチームが確認すべきポイント

今回の脆弱性はオンプレミスで自社サーバーを運用している環境に影響します。
JetBrains Space等のクラウド版はすでに対処済みのため、自社でHubを立ち上げているチームが優先対応の対象です。
特に注意が必要な環境の特徴を以下にまとめます。

オンプレミスでJetBrains Hubを運用している
Hub経由でYouTrack・TeamCityをSSO連携している
インターネットからHubへ直接アクセスできる状態にある

パッチを適用しないままだと、外部からの無認証アクセスが成立するリスクが残ります。
まずHub 2026.1.13757以降へのアップデートを行い、連携サービスの不審なアクセスログを確認することを推奨します。

まとめ：開発ツールのパッチ管理を業務フローに組み込む

JetBrains Hubの3件の脆弱性（CVE-2026-56141/56142/50242）は、未認証のアカウント乗っ取りからCI/CDパイプラインの改ざんまで連鎖する深刻な問題です。
対応の起点はHub 2026.1.13757以降へのアップデートで、LTS版にもバックポートが提供されています。
開発ツールは「安全なはず」と見なされがちですが、今回のような連鎖侵害のシナリオが示す通り、定期的なパッチ管理は業務アプリと同等の優先度で行うべきです。