IntelliJ IDEA の UI Designer フォームファイルで任意コード実行

Critical（CVSS 9.8）に分類されるJetBrains IntelliJ IDEAの脆弱性です。JetBrains IntelliJ IDEA の 2026.2 より前の版で、UI Designer のフォームファイル（.form）を介した任意コードのインジェクションが可能だった。JetBrains の記述は一行で、詳細な経路は公開されていない。UI Designer のフォームファイルはプロジェクトに含まれるデータファイルなので、実質的な攻撃シナリオは、細工されたフォームファイルを含むプロジェクトを IDE で開く、あるいはそうしたファイルを取り込んだブランチをチェックアウトして IDE が処理する、という流れになる。つまり信頼できないリポジトリを手元の IDE で開く操作が着火点になり得る種類の問題である。影響範囲は CPE で 2026.2 未満とされ、修正版は 2026.2。CVSS は評価元で割れており、NVD（Primary）は 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の JetBrains は 8.1 High（CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）としている。影響の大きさ（C:H/I:H/A:H）は一致しており、差は攻撃条件の難しさ（AC:L か AC:H）である。JetBrains 側は成立に条件が要るという見方で、この種の脆弱性が細工されたファイルを開かせる前提を含むことと整合する。CISA KEV には未収載で是正期限の指定もない。NVD の公開日は 2026-07-23、vulnStatus は Analyzed。参照は JetBrains の修正済み問題の一覧のみである。

判定は IDE の版の確認で、Help メニューの About か、Toolbox App のインストール済み一覧で見る。2026.2 より前なら該当し、対応は 2026.2 以降への更新で完了する。台数が多い組織では、Toolbox App の管理機能や端末管理（MDM、Intune、Jamf）で導入済みの版を集計するのが早い。見落としやすいのは、Toolbox 経由ではなく個別にダウンロードしてインストールした版、複数の版を並行して残しているケース（旧版を消さずに置いてあると古い方で開いてしまう）、そしてクラウド上の開発用インスタンスである。EC2 や Compute Engine、Azure VM 上に開発環境を立てて IDE を動かしている場合、あるいはコンテナ化した開発環境のイメージに IDE を焼き込んでいる場合は、イメージを作り直さないと古い版が配られ続ける。すぐに更新できない場合の緩和策は、攻撃の前提であるファイルを開かせる経路を絞ることになる。信頼できない出所のプロジェクトを手元の IDE で開かない、外部からのプルリクエストを IDE で直接チェックアウトせずにまず差分をレビューする、という運用上の注意が中心で、特に .form ファイルの追加や変更を含む差分は内容を確認してから開く。IDE の Trusted Projects の仕組み（開いたプロジェクトを信頼するかを確認する動作）を無効化していないことも確認しておく。完了条件は、（1）利用中の IntelliJ IDEA がすべて 2026.2 以降になっていること、（2）クラウド上の開発 VM やコンテナイメージに含まれる IDE も更新済みであること、の2点である。KEV 未収載であり是正期限は発生しないが、Primary の評価は Critical であり、開発者端末は資格情報と本番アクセス権が集まる場所なので、後回しにしない方がよい対象である。

JetBrains IntelliJ IDEA を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-64815）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。