情報取得日: 2026/07/10／最終確認: 2026/08/01・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-59792 |
|---|---|
| 製品 | JetBrains / IntelliJ IDEA 2026.1.4 未満（2026.2 系も対象） |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-23（相対パストラバーサル） |
| 登録／公開日 | 2026/07/10 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-59792 |
JetBrains IntelliJ IDEA に、プロジェクトのワークスペースID の扱いにパストラバーサルがあり、コード実行に至る欠陥がある。NVD の記述では 2026.1.4 より前のバージョンと 2026.2 が対象とされている。 CVSS 3.1 の評価は2つ載っている。JetBrains（CNA）が 9.6（AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L）、NVD 自身の主評価が 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で、2026年8月3日の再点検時点では後者が主評価になっている。違いは2点で、NVD は**利用者の操作を不要（UI:N）**と評価し、**スコープ変更を付けていない（S:U）**代わりに可用性への影響を高（A:H）としている。どちらの評価でも Critical であることは変わらないが、UI:R と UI:N では「攻撃が成立する条件」の読み方が変わる。JetBrains 側の説明に沿えば、現実的な起点は「攻撃者が用意したプロジェクトを IDE で開く」ことである。つまり利用者の操作は要るが、その操作は日常業務そのもの（clone して開く）であり、注意で避けられる種類の操作ではない。**開くこと自体が引き金**になるという点が、この脆弱性の実務上の重さである。 開発者にとって現実的な経路は、心当たりのないリポジトリを clone して IDE で開く、配布されたサンプルプロジェクトを開く、issue に添付されたプロジェクトを再現のために開く、といった日常の動作である。つまり「怪しいファイルを実行しない」という一般的な注意では防げない。**開くこと自体が引き金**になる。 JetBrains は修正済みの問題を `issues-fixed` のページで公開しており、NVD の参照もそこを指している。NVD の版レンジは versionEndExcluding=2026.1.4 で、修正版は **2026.1.4** である。2026.2 系については NVD の記述に対象として挙げられているものの、版レンジとしては示されていないため、2026.2 を使っている場合は JetBrains のページで自分のビルド番号が修正済みかを確認する必要がある。 NVD の公開日は 2026年7月10日、最終更新は 2026年7月14日、vulnStatus は Analyzed。2026年8月2日時点で CISA KEV カタログには収載されていない。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
開発者端末および CI 上の IntelliJ IDEA を 2026.1.4 以降へ更新する
クラウド側の設定で防ぐ性質の欠陥ではない。Cloud9 等のブラウザIDEは対象外。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
開発者端末および Cloud Workstations 等のイメージに含まれる IntelliJ IDEA を 2026.1.4 以降へ更新する
Cloud Workstations のカスタムイメージに古い IDE が焼き込まれていないか確認する。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
開発者端末および Dev Box のイメージに含まれる IntelliJ IDEA を 2026.1.4 以降へ更新する
Dev Box のイメージ更新まで含めて対応と考える。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
Toolbox App またはディストリのパッケージから IntelliJ IDEA を 2026.1.4 以降へ更新する。更新までは素性の分からないプロジェクトを開かない
2026.2 系を使っている場合は、JetBrains の issues-fixed ページで自分のビルドが修正済みかを確認する（NVD の版レンジには 2026.2 の範囲が示されていない）。
参照リンク
|
まず自分のビルドを確認する。IntelliJ IDEA の「Help」から「About」を開くとビルド番号とバージョンが出る。Toolbox App で管理している場合は Toolbox の一覧に表示される。2026.1.4 より前なら対象である。 恒久対応は **2026.1.4 以降へ更新する**ことである。Toolbox App を使っているなら更新ボタンひとつで済む。組織で配布している場合は、配布物のバージョンを上げたうえで、各開発者の手元が実際に上がったかを確認するところまでを対応と考えるべきである。IDE の更新は「あとでやる」で放置されやすい。 更新前の緩和策は、**素性の分からないプロジェクトを IDE で開かない**ことに尽きる。具体的には、外部から受け取ったリポジトリは、まず IDE ではなくエディタやコマンドラインで中身を確認する。CI や使い捨てのコンテナ内で開く運用にできるなら、影響を手元の端末から隔離できる。 検知は難しい。IDE がプロジェクトを開いた時点で走るため、通常の開発作業と区別がつく痕跡が残りにくい。現実的には、(1) 開発端末の EDR で IDE プロセスからの想定外の子プロセス起動を見る、(2) IDE の設定ディレクトリ配下に身に覚えのないファイルが増えていないかを見る、あたりが手掛かりになる。開発端末は本番の認証情報やソース一式を持っていることが多いので、侵害が疑われる場合はトークンの失効を先に行う。 優先順としては、外部のリポジトリを日常的に開く立場（OSS のメンテナ、受託開発、issue 対応をする人）ほど先に更新するべきである。
Critical（CVSS 9.8）に分類されるJetBrains IntelliJ IDEA 2026.1.4 未満（2026.2 系も対象）の脆弱性です。JetBrains IntelliJ IDEA に、プロジェクトのワークスペースID の扱いにパストラバーサルがあり、コード実行に至る欠陥がある。NVD の記述では 2026.1.4 より前のバージョンと 2026.2 が対象とされている。 CVSS 3.1 の評価は2つ載っている。JetBrains（CNA）が 9.6（AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L）、NVD 自身の主評価が 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で、2026年8月3日の再点検時点では後者が主評価になっている。違いは2点で、NVD は**利用者の操作を不要（UI:N）**と評価し、**スコープ変更を付けていない（S:U）**代わりに可用性への影響を高（A:H）としている。どちらの評価でも Critical であることは変わらないが、UI:R と UI:N では「攻撃が成立する条件」の読み方が変わる。JetBrains 側の説明に沿えば、現実的な起点は「攻撃者が用意したプロジェクトを IDE で開く」ことである。つまり利用者の操作は要るが、その操作は日常業務そのもの（clone して開く）であり、注意で避けられる種類の操作ではない。**開くこと自体が引き金**になるという点が、この脆弱性の実務上の重さである。 開発者にとって現実的な経路は、心当たりのないリポジトリを clone して IDE で開く、配布されたサンプルプロジェクトを開く、issue に添付されたプロジェクトを再現のために開く、といった日常の動作である。つまり「怪しいファイルを実行しない」という一般的な注意では防げない。**開くこと自体が引き金**になる。 JetBrains は修正済みの問題を `issues-fixed` のページで公開しており、NVD の参照もそこを指している。NVD の版レンジは versionEndExcluding=2026.1.4 で、修正版は **2026.1.4** である。2026.2 系については NVD の記述に対象として挙げられているものの、版レンジとしては示されていないため、2026.2 を使っている場合は JetBrains のページで自分のビルド番号が修正済みかを確認する必要がある。 NVD の公開日は 2026年7月10日、最終更新は 2026年7月14日、vulnStatus は Analyzed。2026年8月2日時点で CISA KEV カタログには収載されていない。
まず自分のビルドを確認する。IntelliJ IDEA の「Help」から「About」を開くとビルド番号とバージョンが出る。Toolbox App で管理している場合は Toolbox の一覧に表示される。2026.1.4 より前なら対象である。 恒久対応は **2026.1.4 以降へ更新する**ことである。Toolbox App を使っているなら更新ボタンひとつで済む。組織で配布している場合は、配布物のバージョンを上げたうえで、各開発者の手元が実際に上がったかを確認するところまでを対応と考えるべきである。IDE の更新は「あとでやる」で放置されやすい。 更新前の緩和策は、**素性の分からないプロジェクトを IDE で開かない**ことに尽きる。具体的には、外部から受け取ったリポジトリは、まず IDE ではなくエディタやコマンドラインで中身を確認する。CI や使い捨てのコンテナ内で開く運用にできるなら、影響を手元の端末から隔離できる。 検知は難しい。IDE がプロジェクトを開いた時点で走るため、通常の開発作業と区別がつく痕跡が残りにくい。現実的には、(1) 開発端末の EDR で IDE プロセスからの想定外の子プロセス起動を見る、(2) IDE の設定ディレクトリ配下に身に覚えのないファイルが増えていないかを見る、あたりが手掛かりになる。開発端末は本番の認証情報やソース一式を持っていることが多いので、侵害が疑われる場合はトークンの失効を先に行う。 優先順としては、外部のリポジトリを日常的に開く立場（OSS のメンテナ、受託開発、issue 対応をする人）ほど先に更新するべきである。
JetBrains IntelliJ IDEA 2026.1.4 未満（2026.2 系も対象） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-59792）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
掲載後に NVD・CISA KEV 側で確定した変化を、日次の自動突合で記録したものです（新しい順）。掲載前の変化は記録がないため含みません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/01）。