「TeamCity」に深刻な脆弱性 - アップデートで修正

ソフトウェアのビルドやテスト、自動配布などの機能を提供するJetBrainsのCI/CDサーバ「TeamCity」に深刻な脆弱性が明らかとなった。

同製品のオンプレミス版に、認証を必要とすることなく任意のOSコマンドを実行できる脆弱性「CVE-2026-63077」が明らかとなったもの。2026年7月10日に非公開のもと報告を受けたという。

「TeamCity」のエージェントポーリングプロトコルを介して認証チェックを回避し、HTTPまたはHTTPS経由で「TeamCity Server」へアクセスできる場合、リモートからコードを実行できる。

サーバプロセスへ付与された権限に応じて、保存されたデータや設定、認証情報が漏洩するおそれがある。サーバの状態が変更されたり、ビルド成果物や下流のCI/CDパイプラインにおけるデータの完全性が損なわれる可能性もある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。アドバイザリの公開時点で悪用は確認されていない。

同社は脆弱性を修正した「TeamCity 2026.1.3」「同2025.11.7」を提供。「同2017.1」以降のバージョンに対してもパッチプラグインを用意した。すぐに修正できない場合は、外部からのアクセスを一時的に制限するよう求めている。

（Security NEXT - 2026/07/28 ）ツイート