JetBrains TeamCity の Git VCS root 設定経由でコード実行ができた

Critical（CVSS 9.1）に分類されるJetBrains TeamCityの脆弱性です。CVE-2026-65906 と同じ TeamCity の 2026.1.2 / 2025.11.6 で修正された、もう1件のコード実行である。NVD の記述は「In JetBrains TeamCity before 2026.1.2, 2025.11.6 code execution in Git VCS roots was possible」で、入口は Kotlin DSL ではなく Git の VCS root（TeamCity がソースを取得するために持つ接続設定）である。Git はリポジトリ URL やオプションに実行時の挙動を変える指定を書ける仕様があり、VCS root の設定値がそのまま渡ると、取得処理の側でコードが動く形になる。CVSS は現時点で NVD 自身の評価が付いておらず、採番元 JetBrains（cve@jetbrains.com）の 9.1 Critical のみが登録されている。ベクタは AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H で、悪用には高い権限（PR:H、すなわち VCS root を作成・編集できる管理権限）が必要な一方、成功するとスコープを越えて機密性・完全性・可用性のすべてに High の影響が出る、という評価である。CWE は CWE-94。NVD の vulnStatus は Undergoing Analysis（2026-07-24 時点）で、まだ CPE も付与されていないため、影響範囲の機械可読な確定情報は無く、判断材料は NVD の記述文と JetBrains の Fixed security issues ページに限られる。2026年8月15日時点で CISA KEV カタログには収載されておらず、悪用の一次情報も確認できない。

対応は CVE-2026-65906 とまったく同じで、TeamCity サーバを 2026.1.2 以上、または 2025.11.6 以上へ更新すれば両方が同時に直る。分けて扱う必要があるのは、更新までの間の絞り込み方である。65906 が Kotlin DSL を入口にするのに対し、こちらは VCS root の設定値が入口なので、DSL の利用を止めても塞がらない。悪用には VCS root を編集できる権限が要るという JetBrains の評価（PR:H）を踏まえると、実務上の優先作業は権限の棚卸しである。プロジェクト管理者ロールを持つユーザを一覧し、外部委託や退職者のアカウントが残っていないか、必要のないユーザにプロジェクト編集権限が付いていないかを確認する。あわせて、VCS root を編集できるロールを限定し、設定変更の監査ログを有効にしておく。侵害の確認では、VCS root の URL やパラメータが最近書き換えられていないか、見覚えのない接続先やオプションが入っていないかを設定変更履歴で確認する。CI サーバはデプロイ鍵やクラウド資格情報を持つため、疑わしい変更が見つかった場合は、TeamCity に登録した資格情報のローテーションまで含めて対応する。なお NVD がまだ解析中で CPE が付いていないため、影響バージョンの機械的な突合はできない。更新の判断は NVD の記述文にある 2026.1.2 / 2025.11.6 という線引きに従う。

JetBrains TeamCity を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-65907）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。