JetBrains、TeamCity On-Premises全バージョンに認証不要のRCE脆弱性（CVE-2026-63077）|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月03日更新日時: 2026年08月03日

JetBrainsは2026年7月27日、CI/CDサーバー「TeamCity On-Premises」の全バージョンに影響するクリティカルな脆弱性「CVE-2026-63077」のアドバイザリを公開しました。エージェントポーリングプロトコル経由で認証チェックをバイパスし、認証情報なしでOSコマンドをTeamCityサーバープロセスの権限で任意実行できるという内容です。修正済みバージョン（2025.11.7または2026.1.3）へのアップグレード、またはセキュリティパッチプラグインの適用を強く推奨しています。TeamCity Cloudは対策適用済みのため対応不要です。公表時点で野生での悪用は確認されていませんが、過去にTeamCityの脆弱性はランサムウェアグループや北朝鮮系国家支援アクターに広く悪用された実績があり、早急な対応が求められます。

TeamCity CVE-2026-63077 認証バイパスRCEのサマリー

CVE-2026-63077はTeamCity On-Premisesの全バージョンに影響するクリティカルな認証バイパス脆弱性
認証情報なしで、HTTP(S)でアクセスできる攻撃者がエージェントポーリングプロトコル経由でRCEを実現可能
報告者：Antoni Tremblay（2026年7月10日に非公開報告）
修正バージョン：TeamCity 2025.11.7・2026.1.3
TeamCity 2017.1以降向けのセキュリティパッチプラグインも提供
TeamCity Cloudは対策適用済み、ユーザー側の対応不要
公表時点（2026年7月27日）で野生での悪用は未確認
過去にTeamCity脆弱性はランサムウェアグループ・北朝鮮系アクターに大規模悪用された前例あり

整理表

項目	内容
CVE番号	CVE-2026-63077
深刻度	Critical（クリティカル）
影響製品	TeamCity On-Premises（全バージョン）
脆弱性の種類	認証バイパス → 未認証リモートコード実行（RCE）
攻撃に必要な条件	HTTP(S)でのTeamCityサーバーへのアクセスのみ（認証不要）
攻撃経路	エージェントポーリングプロトコル
報告者	Antoni Tremblay（2026年7月10日、非公開報告）
修正バージョン	TeamCity 2025.11.7・2026.1.3
セキュリティパッチ	TeamCity 2017.1以降向けプラグインとして提供
TeamCity Cloud	対策適用済み（ユーザー対応不要）
野生での悪用	公表時点で未確認

何が起きたか——エージェントポーリングプロトコルを通じた認証バイパス

JetBrainsの公式アドバイザリによると、CVE-2026-63077はTeamCityサーバーのエージェントポーリングプロトコルに存在する欠陥を利用したものです。TeamCityではビルドエージェントが定期的にサーバーをポーリングしてジョブを取得する仕組みがありますが、このプロトコルに対する認証チェックが適切に実施されていない欠陥があります。

攻撃者は対象のTeamCityサーバーへのHTTP(S)アクセスさえあれば、ユーザー名もパスワードも必要とせずにこのプロトコルを悪用して認証チェックをバイパスし、TeamCityサーバープロセスの権限でOSの任意コマンドを実行できます。

実行されるコマンドはTeamCityサーバープロセスの権限で動作します。JetBrainsの記述によると、攻撃に成功した場合、TeamCityのデータ・設定・保存された認証情報の露出、サーバー状態の変更、ビルドアーティファクトの完全性の侵害、そして下流のCI/CDパイプライン全体の侵害が起こりえます。

CI/CDサーバーへの侵害が持つ特別な意味

サーバーサイドエンジニアとしての経験から言えば、CI/CDサーバーへの侵害はアプリケーションサーバーへの侵害とは質的に異なるリスクを持ちます。TeamCityのようなCI/CDサーバーは、ソースコードリポジトリへのアクセス認証情報、本番環境へのデプロイ認証情報、クラウドプロバイダーのAPIキー、コード署名証明書など、組織内で最も高い権限を持つ認証情報を一か所に集積しています。

ここへの侵害は単一システムの侵害ではなく、ソフトウェアサプライチェーン全体への侵害につながります。攻撃者はビルドスクリプトにマルウェアを注入し、署名済みの正規ソフトウェアとして配布されるバイナリに悪意あるコードを埋め込むことが可能になります。北朝鮮系のOperation Double Barrelでも確認されているように、CI/CD環境は国家支援のアクターにとってサプライチェーン攻撃の起点として高い価値を持つ標的です。

TeamCity脆弱性の悪用は前例が多い——速やかな対応が求められる理由

今回のCVE-2026-63077を特に危険と位置づける背景には、過去のTeamCity脆弱性悪用事例の深刻さがあります。BleepingComputerの報告によると、過去のTeamCity脆弱性はランサムウェアグループと国家支援アクターの双方によって大規模に悪用されており、北朝鮮のハッカーグループがTeamCityの脆弱性を悪用してネットワークに侵入したケースも確認されています。

また、TeamCityのアドバイザリには以下の重要な注記があります。「インターネット公開のTeamCityサーバーに対して、ログイン画面やREST APIを公開するだけでも、新たに開示された脆弱性を悪用するための足がかりをになりえる」という指摘です。今回の脆弱性は認証不要（ログイン不要）で悪用できるため、ログイン画面にアクセスできるすべての攻撃者が潜在的な脅威となります。

対応手順——アップグレードまたはパッチプラグインの適用

JetBrainsが推奨する対応には2つの選択肢があります。

選択肢1：修正バージョンへのアップグレード（推奨）

TeamCity 2025.11.7またはTeamCity 2026.1.3への更新が最優先の対応です。JetBrainsのダウンロードページから最新の修正済みバージョンを入手できます。TeamCity内の自動更新オプションを使用することも可能です。

選択肢2：セキュリティパッチプラグインの適用

すぐにアップグレードできない場合は、TeamCity 2017.1以降向けにセキュリティパッチプラグインが提供されています。

プラグインダウンロード先：
https://download.jetbrains.com/teamcity/plugins/internal/fix_CVE_2026_63077.zip

TeamCity 2024.03以降では、利用可能なセキュリティパッチプラグインを自動ダウンロードし、管理者に通知する機能があります。「管理画面 → 更新 → 利用可能なセキュリティアップデート」から確認・適用できます。

バージョン別の注意事項

TeamCity 2017.1〜2018.1ではパッチプラグインのインストール後にサーバー再起動が必要です。TeamCity 2018.2以降は再起動なしで有効化できます。

なお、パッチプラグインはCVE-2026-63077のみに対応する最低限の措置です。JetBrainsは「他の多くのセキュリティアップデートを含む最新バージョンへのアップグレードを常に推奨する」と明記しています。

長期的なベストプラクティス——ネットワーク制限とVPN

JetBrainsはアドバイザリの中で、パッチ適用と並行して長期的なセキュリティベストプラクティスの実施を推奨しています。

インターネットから直接アクセス可能なTeamCityサーバー（外部ユーザーがログイン画面に到達できる状態）に対しては、VPN接続の要件化または追加のセキュリティレイヤーの実装によって不正アクセスを防ぐことを推奨しています。ログイン画面やREST APIの公開だけでも攻撃者への入口になりえることを改めて明示しています。

また、TeamCityサーバーはビルドエージェントとは別の専用ホストで動作させること、TeamCityサーバープロセスは通常運用に必要な最小限のOS権限で実行することも推奨されています。