1. セキュリティ対策ラボ
  2. セキュリティニュース
  3. 情報セキュリティ
  4. JetBrains「Hub」で認証バイパスの重大な脆弱性(CVE-2026-25848)-管理者操作が不正実行される恐れ

JetBrains「Hub」で認証バイパスの重大な脆弱性(CVE-2026-25848)-管理者操作が不正実行される恐れ

セキュリティニュース

投稿日時: 更新日時:

JetBrains「Hub」で認証バイパスの重大な脆弱性(CVE-2026-25848)-管理者操作が不正実行される恐れ

JetBrainsのアカウント管理基盤「JetBrains Hub」において、認証を回避（Authentication Bypass）できる可能性がある重大な脆弱性（CVE-2026-25848）が報告されています。攻撃者がこの欠陥を悪用した場合、未認証のまま管理者権限に関わる操作を実行できる恐れがあり、組織のID管理や権限設定に影響が及ぶリスクがあります。

本件は外部から到達可能な環境で特にリスクが高く、Hubを基盤にYouTrackやTeamCityなど周辺システムと連携している場合、影響範囲が拡大する可能性も否定できません。

対象となる製品・バージョン（Hub）

影響を受けるのは、JetBrains Hub「2025.3.119807」より前のバージョンとされています。

対策（Hub）

公開情報では、Hubを「2025.3.119807」以降へ更新することが対策として示されています。


加えて、パッチ適用までの暫定対応としては、Hub管理画面やAPIへの外部到達性を最小化（管理ネットワークへ限定、VPN経由に限定、IP制限等）し、管理者アカウントの監査（不審な管理操作・ユーザー作成・権限変更の有無）を実施することが重要です。

関連記事

Docker Hub イメージから1万以上の認証情報や認証キーなどが漏洩の可能性Docker Hub イメージから1万以上の認証情報や認証キーなどが漏洩の可能性 2025年12月 Microsoftが定例パッチをリリース-3件のゼロデイを修正(CVE-2025-62221,CVE-2025-64671,CVE-2025-54100)2025年12月 Microsoftが定例パッチをリリース-3件のゼロデイを修正(CVE-2025-62221,CVE-2025-64671,CVE-2025-54100) PostgreSQL、5つの重大な脆弱性を修正(CVE-2026-2004,CVE-2026-2005,CVE-2026-2006,CVE-2026-2007,CVE-2026-2003)PostgreSQL、5つの重大な脆弱性を修正(CVE-2026-2004,CVE-2026-2005,CVE-2026-2006,CVE-2026-2007,CVE-2026-2003) Microsoft、Windows 10で緊急アップデート公開—ESU登録不具合を修正（KB5071959）Microsoft、Windows 10で緊急アップデート公開—ESU登録不具合を修正（KB5071959） Kubernetes向けWeb UI「Headlamp」に認証情報キャッシュの脆弱性(CVE-2025-14269)Kubernetes向けWeb UI「Headlamp」に認証情報キャッシュの脆弱性(CVE-2025-14269) Google、Chrome 145のデスクトップ向け安定版で3件の重大な脆弱性を修正(CVE-2026-2313,CVE-2026-2314,CVE-2026-2315)Google、Chrome 145のデスクトップ向け安定版で3件の重大な脆弱性を修正(CVE-2026-2313,CVE-2026-2314,CVE-2026-2315) GitHubの非公開リポジトリがMicrosoftのAIアシスタント「Copilot」により無断公開GitHubの非公開リポジトリがMicrosoftのAIアシスタント「Copilot」により無断公開 WhisperPair、数億台のBluetooth 機器に深刻な脆弱性 CVE-2025-36911-Google Fast Pairの不備による盗聴・追跡リスクの実態WhisperPair、数億台のBluetooth 機器に深刻な脆弱性 CVE-2025-36911-Google Fast Pairの不備による盗聴・追跡リスクの実態 Ivanti VPN の脆弱性がゼロデイ攻撃の標的に(CVE-2025-0282とCVE-2025-0283)Ivanti VPN の脆弱性がゼロデイ攻撃の標的に(CVE-2025-0282とCVE-2025-0283)