「TeamCity」に深刻な脆弱性 - アップデートで修正

ソフトウェアのビルドやテスト、自動配布などの機能を提供するJetBrainsのCI/CDサーバ「TeamCity」に深刻な脆弱性が明らかとなった。

同製品のオンプレミス版に、認証を必要とすることなく任意のOSコマンドを実行できる脆弱性「CVE-2026-63077」が明らかとなったもの。2026年7月10日に非公開のもと報告を受けたという。

「TeamCity」のエージェントポーリングプロトコルを介して認証チェックをバイパスすることが可能であることに起因。HTTPまたはHTTPS経由で「TeamCity Server」へアクセスできる場合、リモートからコードを実行できる。

サーバプロセスへ付与された権限に応じて、保存されたデータや設定、認証情報が漏洩するおそれがある。サーバの状態が変更されたり、ビルド成果物や下流のCI/CDパイプラインにおけるデータの完全性が損なわれる可能性もある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。アドバイザリの公開時点で悪用は確認されていない。

同社は脆弱性を修正した「TeamCity 2026.1.3」「同2025.11.7」を提供。「同2017.1」以降のバージョンに対してもパッチプラグインを用意した。すぐに修正できない場合は、外部からのアクセスを一時的に制限するよう求めている。

（Security NEXT - 2026/07/28 ）ツイート