JetBrains TeamCity のデシリアライズ欠陥（未認証リモートコード実行・悪用確認済み）

Critical（CVSS 9.8）に分類されるJetBrains TeamCity 2025.11.7 未満、および 2026.1 〜 2026.1.2の脆弱性です。CI/CD サーバーである JetBrains TeamCity に、信頼できないデータのデシリアライズに起因する欠陥がある。 NVD の記述によれば、**エージェントのポーリングプロトコル経由で未認証のリモートコード実行が可能**である。CVSS 3.1 基本値は 9.8（AV:N/AC:L/PR:N/UI:N）で、認証も利用者の操作も要らない。JetBrains の告知はより具体的で、HTTP(S) で TeamCity サーバーに到達できる未認証の攻撃者が**認証チェックを迂回し、TeamCity サーバープロセスの権限で任意の OS コマンドを実行できる**としている。 **対象は TeamCity On-Premises の全バージョンである。** JetBrains の告知の原文は「All versions of TeamCity On-Premises are affected.」で、特定の系列だけの話ではない。一方 **TeamCity Cloud は対象外**で、利用者側の対応は不要とされている。 CISA は 2026-08-05 に本CVEを KEV（悪用が確認された脆弱性カタログ）へ収載し、是正期限を 2026-08-08 としている。つまり「いずれ狙われる」ではなく、**すでに実際の攻撃で使われている**段階である。ランサムウェアキャンペーンでの利用有無は KEV 上「Unknown」となっている。 **ベンダー自身も悪用を認めている。** JetBrains は初報（2026-07-27）の後、2026-08-07 に追補を出し、未更新のサーバーを狙った悪用および悪用の試行が報告されていると公表した。KEV 収載と合わせて、露出していた個体は「狙われたかもしれない」ではなく「狙われた前提」で扱うのが妥当である。 影響が大きいのは、TeamCity が CI/CD サーバーであるという性質による。ここが取られると、ビルド時の資格情報、デプロイ鍵、成果物の署名など、下流のすべてに波及する。JetBrains も、成功した場合に TeamCity のデータ・設定・保存された資格情報が露出し、サーバーの状態が改変され、ビルド成果物と下流のパイプラインの完全性が損なわれ得ると明記している。単なる1サーバーの侵害では終わらない。 狙われる経路がエージェントのポーリングプロトコルである点も重要で、Web UI を認証やリバースプロキシで守っていても、**ビルドエージェントが接続するポートが開いていれば到達され得る**。

恒久対応は**修正版への更新**である。JetBrains は 2025.11.7 と 2026.1.3 で修正している。2025.11 系を使っているなら 2025.11.7 以上、2026.1 系なら 2026.1.3 以上へ上げる。 **すぐに版を上げられない場合の正規の逃げ道が用意されている。** JetBrains は本CVEだけを塞ぐ security patch plugin を配布しており、**TeamCity 2017.1 以降**に適用できる。2024.03 以降のサーバーではプラグインが自動で取得され、管理者に通知が出る。全バージョンが対象である以上、古い系列を使っていて 2025.11.7 まで一気に上げられない環境はこの手段を採る。ただし**このプラグインが塞ぐのは本CVEだけ**であり、JetBrains は結局のところ最新版への更新を勧めている。 どちらも今すぐ適用できず、かつサーバーがインターネットから到達できる場合は、**適用できるまで外部からの到達を一時的に遮断する**ことが推奨されている。ビルドエージェントは通常、社内ネットワークやVPNの内側から接続するので、外部からの到達を落としても運用は成り立つことが多い。 **是正期限（2026-08-08）を過ぎている、あるいは露出していた期間がある場合は、更新だけでは足りない。** 未認証RCEなので、更新前にすでに実行されている可能性を前提に調査する。JetBrains は見るべき痕跡を具体的に挙げている。 - 更新前の痕跡: サーバーログの `com.thoughtworks.xstream.converters.ConversionException`。攻撃者から URL が到達可能だったサーバーで、悪用の試行または成功を示しうる - 更新後の痕跡: `com.thoughtworks.xstream.security.ForbiddenClassException`。こちらは**塞いだ後に弾いた試行**を示す - 未承認のビルドエージェント一覧に、身に覚えのないエージェントが並んでいないか。とくに **`scan` で始まる名前**のものに注意する **エージェント一覧に表示される日付を、試行された時刻として読まないこと。** JetBrains は、未承認エージェントの表示日付は必ずしも試行の時刻を示さないので、**ログメッセージ側のタイムスタンプで判断する**よう明示している。 痕跡が見つかった場合、あるいは露出期間が長かった場合は、TeamCity が保持していた資格情報・デプロイ鍵・アクセストークンの**全面的な再発行**まで行う。ビルド成果物の完全性も疑う対象になる。 クラウド版（TeamCity Cloud）を使っている場合は JetBrains 側の管理範囲になるが、自社で運用している TeamCity Server（オンプレミス）は利用者の責任範囲である。

JetBrains TeamCity 2025.11.7 未満、および 2026.1 〜 2026.1.2 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-63077）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/08 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が無い場合はクラウドサービス向けの BOD 26-04 の指針に従うか、製品の使用を中止する。各資産のインターネット露出を評価する責任は利用者側にある。