情報取得日: 2026/07/14／最終確認: 2026/08/10・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-62422 |
|---|---|
| 製品 | JetBrains / YouTrack |
| CVSS | 10.0（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| 種別 (CWE) | CWE-306 重要な機能に対する認証の欠如 |
| 登録／公開日 | 2026/07/14 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-62422 |
JetBrains の課題管理ツール YouTrack に認証バイパスの脆弱性がある。NVD の記述によれば、データベースへの直接アクセスを経由して認証を回避し、管理者権限を取得できる状態だった。NVD 掲載の CVSS 3.1 基本値は 10.0（Critical）で、ベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。事前の権限も利用者の操作も不要で、Scope が Changed（S:C）＝影響が脆弱なコンポーネントの外へ及ぶと評価されているため、10.0 に達している。修正済みバージョンは 2026.1.13757 / 2025.3.148033 / 2025.2.148048 / 2025.1.148120 / 2024.3.148430 / 2024.2.148429 で、これらより前が影響を受ける。2026年8月13日時点で CISA KEV カタログには収載されていない（＝悪用の確認は公表されていない）。NVD の vulnStatus は Analyzed。JetBrains は個別のアドバイザリページではなく Issues Fixed の一覧で公開している。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 上の YouTrack Server を修正済みバージョンへ更新する
YouTrack は AWS のマネージドサービスではないため AWS 側からの修正提供はない。系列ごとの修正版は JetBrains の Issues Fixed 一覧で確認する。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
GCE 上の YouTrack Server を修正済みバージョンへ更新する
GCP 固有の修正提供はない。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM 上の YouTrack Server を修正済みバージョンへ更新する
Azure 固有の修正提供はない。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
YouTrack Server を 2026.1.13757 / 2025.3.148033 / 2025.2.148048 / 2025.1.148120 / 2024.3.148430 / 2024.2.148429 以上へ更新する
ディストリのパッケージ更新では対応できない。JetBrains の配布物を入れ替える。Docker で運用している場合はイメージのタグを上げる。
参照リンク
|
YouTrack は課題・仕様・認証情報の断片が集まる場所で、管理者権限を取られると製品計画と社内の議論がまとめて読まれる。自ホスト（YouTrack Server）で運用している場合は、まずバージョンを確認して該当するかを判定する。判定は「修正済み6バージョンのうち、自分の系列に対応するもの以上か」で行う。系列をまたぐアップグレードが難しい場合でも、同一系列内の修正版が用意されているのでそちらへ上げられる。クラウド版（YouTrack InCloud）は JetBrains 側で更新されるため利用者の作業は不要だが、自ホストからの移行途中で古いインスタンスが残っていないかは確認する。あわせて、管理画面がインターネットから到達できる状態かを見直し、到達できるなら VPN や IP 制限の後ろへ入れる。S:C（Scope Changed）の評価どおり、YouTrack が持つ他システムへの連携トークン（VCS・CI・Slack 等）も侵害範囲に入り得るので、更新後は連携トークンの再発行も検討する。
Critical（CVSS 10.0）に分類されるJetBrains YouTrackの脆弱性です。JetBrains の課題管理ツール YouTrack に認証バイパスの脆弱性がある。NVD の記述によれば、データベースへの直接アクセスを経由して認証を回避し、管理者権限を取得できる状態だった。NVD 掲載の CVSS 3.1 基本値は 10.0（Critical）で、ベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。事前の権限も利用者の操作も不要で、Scope が Changed（S:C）＝影響が脆弱なコンポーネントの外へ及ぶと評価されているため、10.0 に達している。修正済みバージョンは 2026.1.13757 / 2025.3.148033 / 2025.2.148048 / 2025.1.148120 / 2024.3.148430 / 2024.2.148429 で、これらより前が影響を受ける。2026年8月13日時点で CISA KEV カタログには収載されていない（＝悪用の確認は公表されていない）。NVD の vulnStatus は Analyzed。JetBrains は個別のアドバイザリページではなく Issues Fixed の一覧で公開している。
YouTrack は課題・仕様・認証情報の断片が集まる場所で、管理者権限を取られると製品計画と社内の議論がまとめて読まれる。自ホスト（YouTrack Server）で運用している場合は、まずバージョンを確認して該当するかを判定する。判定は「修正済み6バージョンのうち、自分の系列に対応するもの以上か」で行う。系列をまたぐアップグレードが難しい場合でも、同一系列内の修正版が用意されているのでそちらへ上げられる。クラウド版（YouTrack InCloud）は JetBrains 側で更新されるため利用者の作業は不要だが、自ホストからの移行途中で古いインスタンスが残っていないかは確認する。あわせて、管理画面がインターネットから到達できる状態かを見直し、到達できるなら VPN や IP 制限の後ろへ入れる。S:C（Scope Changed）の評価どおり、YouTrack が持つ他システムへの連携トークン（VCS・CI・Slack 等）も侵害範囲に入り得るので、更新後は連携トークンの再発行も検討する。
JetBrains YouTrack を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-62422）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/10）。