JetBrains TeamCity のデシリアライズ欠陥（未認証リモートコード実行・悪用確認済み）

Critical（CVSS 9.8）に分類されるJetBrains TeamCity 2025.11.7 未満、および 2026.1 〜 2026.1.2の脆弱性です。CI/CD サーバーである JetBrains TeamCity に、信頼できないデータのデシリアライズに起因する欠陥がある。 NVD の記述によれば、**エージェントのポーリングプロトコル経由で未認証のリモートコード実行が可能**である。CVSS 3.1 基本値は 9.8（AV:N/AC:L/PR:N/UI:N）で、認証も利用者の操作も要らない。 CISA は 2026-08-05 に本CVEを KEV（悪用が確認された脆弱性カタログ）へ収載し、是正期限を 2026-08-08 としている。つまり「いずれ狙われる」ではなく、**すでに実際の攻撃で使われている**段階である。ランサムウェアキャンペーンでの利用有無は KEV 上「Unknown」となっている。 影響が大きいのは、TeamCity が CI/CD サーバーであるという性質による。ここが取られると、ビルド時の資格情報、デプロイ鍵、成果物の署名など、下流のすべてに波及する。単なる1サーバーの侵害では終わらない。 狙われる経路がエージェントのポーリングプロトコルである点も重要で、Web UI を認証やリバースプロキシで守っていても、**ビルドエージェントが接続するポートが開いていれば到達され得る**。

**修正版へ更新するのが唯一の恒久対応である。** JetBrains は 2025.11.7 と 2026.1.3 で修正している。2025.11 系を使っているなら 2025.11.7 以上、2026.1 系なら 2026.1.3 以上へ上げる。 更新までの間の緩和は、エージェントのポーリングに使うポートの露出を絞ることである。インターネットから直接到達できる状態になっていないかを最優先で確認する。ビルドエージェントは通常、社内ネットワークやVPNの内側から接続するので、外部からの到達を遮断しても運用は成り立つことが多い。 **是正期限（2026-08-08）を過ぎている、あるいは露出していた期間がある場合は、更新だけでは足りない。** 未認証RCEなので、更新前にすでに実行されている可能性を前提に、侵害の痕跡調査（不審なビルド設定・追加されたプラグイン・アクセストークンの発行履歴・エージェントからの外向き通信）と、TeamCity が保持していた資格情報・デプロイ鍵・トークンの**全面的な再発行**まで行う。 クラウド版（TeamCity Cloud）を使っている場合は JetBrains 側の管理範囲になるが、自社で運用している TeamCity Server（オンプレミス）は利用者の責任範囲である。

JetBrains TeamCity 2025.11.7 未満、および 2026.1 〜 2026.1.2 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-63077）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/08 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が無い場合はクラウドサービス向けの BOD 26-04 の指針に従うか、製品の使用を中止する。各資産のインターネット露出を評価する責任は利用者側にある。