JetBrains「TeamCity」にリモートコード実行など2件の脆弱性―ExposedにもCVSS 9.8のSQLインジェクション|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月14日更新日時: 2026年10月14日

JetBrainsが提供するCI/CDツール「TeamCity」と、Kotlin向けデータベースライブラリ「Exposed」で、計3件の脆弱性が公表されました。TeamCityではKotlin DSLのサンドボックスを回避してサーバー上で任意のコードを実行できる脆弱性（CVE-2026-106218）と、GitサブモジュールのURL検証不備によりサーバー内のローカルリポジトリを読み取られる脆弱性（CVE-2026-106219）が報告されています。

ExposedのCVE-2026-108474は、SQL関数へ渡す文字列のエスケープ処理に問題があるSQLインジェクションの脆弱性です。JetBrainsはCVSS v3.1で9.8（Critical）と評価しています。いずれも修正版が案内されており、利用組織はTeamCityサーバーのバージョンと、自社アプリケーションに組み込んだExposedのバージョンを別々に確認する必要があります。

JetBrainsの脆弱性3件の概要

CVE-2026-108474：ExposedのSQL関数における文字列処理の不備。SQLインジェクションが発生する可能性があり、CVSS v3.1は9.8。
CVE-2026-106218：TeamCityのKotlin DSLサンドボックスを回避し、サーバー上でリモートコード実行（RCE）が可能になる脆弱性。JetBrainsによるCVSS v3.1は8.8。
CVE-2026-106219：TeamCityのGitサブモジュールURL検証不備。サーバーに保存されたローカルリポジトリを読み取られる可能性があり、CVSS v3.1は6.5。
修正版：Exposed 1.5.1、TeamCity 2026.1.3／2025.11.7（CVE-2026-106218）、TeamCity 2026.2.1（CVE-2026-106219）。
今回の3件について、確認したJetBrainsの公開情報には実際の攻撃で悪用された事例は示されていません。

CVE	対象製品	主な影響	CVSS v3.1（JetBrains）	修正版
CVE-2026-108474	Exposed	SQLインジェクション（CWE-89）	9.8／Critical	1.5.1
CVE-2026-106218	TeamCity	Kotlin DSLサンドボックス回避によるRCE（CWE-184）	8.8／High	2026.1.3、2025.11.7
CVE-2026-106219	TeamCity	ローカルリポジトリの不正な読み取り（CWE-73）	6.5／Medium	2026.2.1

※CVE-2026-106218については、NVDの独自評価が10.0である一方、CVE採番機関であるJetBrainsの評価は8.8です。本記事の一覧表にはJetBrainsのスコアを採用しています。

TeamCityのKotlin DSLにサンドボックス回避の脆弱性（CVE-2026-106218）

TeamCityは、ソースコードのビルド、テスト、デプロイなどを自動化するCI/CD製品です。脆弱性CVE-2026-106218は、Kotlin DSLを利用する設定において、本来許可されない処理がサンドボックスの制限を回避し、TeamCityサーバー上でコード実行に至る問題です。

JetBrainsは、この問題をTeamCity 2026.1.3と2025.11.7で修正したと公表しています。CVSS評価ベクトルには「PR:L」（低い権限が必要）が含まれているため、認証を必要としない攻撃として扱うべきではありません。一方、悪用された場合はTeamCityサーバー側でコードが実行されるため、CI/CD基盤の機密情報やビルド処理への影響を確認する必要があります。

GitサブモジュールURLの検証不備でローカルリポジトリが読み取り可能に（CVE-2026-106219）

CVE-2026-106219は、GitサブモジュールのURLに対する検証が不十分であることに起因します。JetBrainsによると、この問題によりTeamCityサーバー上のローカルリポジトリが読み取られる可能性があります。

修正版はTeamCity 2026.2.1です。CVSS評価上は低い権限を必要とする情報漏えいの脆弱性であり、コード実行の脆弱性ではありません。ソースコードを扱うCI/CDサーバーに特有のリスクとして、サーバー上に保存されたリポジトリの範囲や、ビルド設定を変更できるユーザーの権限を点検する必要があります。

JetBrainsは2026年10月、TeamCity 2026.2.1と2026.1.5の更新を案内し、両バージョンで合計40件超のセキュリティ上の問題に対応したと説明しています。ただし、CVE-2026-106219の修正版として公式の脆弱性一覧で明記されているのは2026.2.1です。2026.1系を利用している場合は、2026.1.5への更新のみでこの脆弱性が解消されると判断せず、公式の修正情報を照合してください。

ExposedにCVSS 9.8のSQLインジェクション脆弱性（CVE-2026-108474）

JetBrains Exposedは、Kotlinでデータベースを操作するためのライブラリです。CVE-2026-108474では、複数のSQL関数に渡す文字列引数が適切にエスケープされず、SQLインジェクションにつながる可能性があります。

影響を受けるのは1.5.1より前のバージョンで、1.5.1に修正が含まれます。JetBrainsのCVSS v3.1評価は9.8で、攻撃条件はネットワーク経由、認証不要と設定されています。ただし、ライブラリを利用するすべてのアプリケーションが直ちに外部から攻撃可能になるという意味ではありません。実際の影響は、アプリケーションが外部入力を該当するSQL関数へ渡すかどうかなど、実装によって異なります。

開発部門はGradleやMavenの依存関係を確認し、Exposedを直接利用しているサービスだけでなく、依存関係を通じて使用しているアプリケーションも洗い出す必要があります。更新後はデータベースへの問い合わせ処理が従来どおり動作するかを確認してください。

情報システム部門・開発部門が確認したい対応

まず、自社運用のTeamCityサーバーについて、稼働バージョン、外部からの到達可能性、ビルド設定を変更できるユーザー、サーバーに保存されたリポジトリを確認します。今回の2件への対応に加え、JetBrainsが提供する最新のセキュリティ修正を取り込むため、可能であればTeamCity 2026.2.1以降への更新を検討します。更新までに時間を要する場合は、管理画面へのアクセス制限や不要な権限の削減を進めてください。これらはリスクを抑える運用上の措置であり、脆弱性自体を修正するものではありません。

Exposedについては、CI/CDサーバーの更新とは別に、アプリケーション側のライブラリを1.5.1以降へ更新します。バージョンの棚卸し、影響箇所の特定、更新後の動作確認を一連の作業として管理することが必要です。脆弱性管理の優先順位付けと運用プロセスでは、資産の特定から修正完了の確認までを整理しています。