JetBrains TeamCity のビルドメッセージで許可リストを回避され遠隔コード実行（CVSS 8.1）

High（CVSS 8.1）に分類されるJetBrains TeamCity（2026.2 / 2026.1.4 / 2025.11.8 未満）の脆弱性です。**CI/CD サーバー JetBrains TeamCity に、ビルドメッセージのプロトコルで許可リスト（ホワイトリスト）を回避して遠隔からコードを実行できる欠陥がある。** CVE の採番元である JetBrains 自身の登録（CNA）によれば、対象は **2026.2、2026.1.4、2025.11.8 より前の版**。CVSS 3.1 は **8.1 High**（攻撃条件の複雑さが高い評価）で、弱点の種類は CWE-502（デシリアライゼーション）とされている。 **悪用の状況。** CISA の ADP 記載（SSVC）は Exploitation を none としており、CISA KEV にも収載されていない。公開の攻撃コードも確認できていない。NVD の分析は未了で、評価は変わる可能性がある。なお、同じ TeamCity の別件（CVE-2026-63077）は悪用が確認されているが、本件とは別の欠陥である。

**修正版へ上げる。** JetBrains の登録は 2026.2、2026.1.4、2025.11.8 を修正版とする。使っている系統に合わせ、2025.11 系は 2025.11.8 以降、2026.1 系は 2026.1.4 以降、または 2026.2 以降へ更新する。 **JetBrains の個別の回避策は確認できていない。** TeamCity のサーバーとビルドエージェントの間の通信を、信頼できるネットワークに限る運用が現実的な暫定策だが、これは公式の回避策ではなく一般的な縮小策である。 **完了条件**は、TeamCity サーバーの版が上記の修正版以上であること。

JetBrains TeamCity（2026.2 / 2026.1.4 / 2025.11.8 未満） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-111094）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。