JetBrains YouTrack 認証バイパス（データベース直接アクセスによる管理者権限取得）

Critical（CVSS 9.8）に分類されるJetBrains YouTrackの脆弱性です。JetBrains の課題管理ツール YouTrack に認証バイパスの脆弱性がある。NVD の記述によれば、データベースへの直接アクセスを経由して認証を回避し、管理者権限を取得できる状態だった。NVD 掲載の CVSS 3.1 基本値は 2026年8月12日の改定で 10.0 から 9.8（Critical）に下がった。改定後のベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H で、Scope の評価が Changed（S:C）から Unchanged（S:U）へ変わっている。影響が YouTrack の外へ及ぶという当初の評価が取り下げられたということで、事前の権限も利用者の操作も不要（PR:N/UI:N）である点は変わっていない。修正済みバージョンは 2026.1.13757 / 2025.3.148033 / 2025.2.148048 / 2025.1.148120 / 2024.3.148430 / 2024.2.148429 で、これらより前が影響を受ける。2026年8月13日時点で CISA KEV カタログには収載されていない（＝悪用の確認は公表されていない）。NVD の vulnStatus は Analyzed。JetBrains は個別のアドバイザリページではなく Issues Fixed の一覧で公開している。

YouTrack は課題・仕様・認証情報の断片が集まる場所で、管理者権限を取られると製品計画と社内の議論がまとめて読まれる。自ホスト（YouTrack Server）で運用している場合は、まずバージョンを確認して該当するかを判定する。判定は「修正済み6バージョンのうち、自分の系列に対応するもの以上か」で行う。系列をまたぐアップグレードが難しい場合でも、同一系列内の修正版が用意されているのでそちらへ上げられる。クラウド版（YouTrack InCloud）は JetBrains 側で更新されるため利用者の作業は不要だが、自ホストからの移行途中で古いインスタンスが残っていないかは確認する。あわせて、管理画面がインターネットから到達できる状態かを見直し、到達できるなら VPN や IP 制限の後ろへ入れる。CVSS の Scope 評価は 2026年8月12日の改定で Unchanged に変わったが、これは「YouTrack の外のコンポーネントの権限まで直接またぐわけではない」という評価であって、YouTrack が保持する連携トークン（VCS・CI・Slack 等）が読まれない意味ではない。管理者権限を取られていれば保存された連携情報には届くので、更新後は連携トークンの再発行も検討する。

JetBrains YouTrack を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-62422）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。