CyberSecurityAction

脆弱性情報 / サプライチェーン/依存関係

JetBrains TeamCity RCE（CVE-2026-63077、CVSS 9.8）が実被害確認——CISAがKEVに緊急追加

CI/CDツールのTeamCityにCVSS 9.8の認証不要RCE脆弱性が発見され、野外での積極的悪用をCISAが確認。連邦機関に3日以内の対応を指令。国内利用組織も即時対応が必要。

喜村 圭佑（編集責任者）更新 約5分

SHARE

XB!in
JetBrains TeamCity RCE（CVE-2026-63077、CVSS 9.8）が実被害確認——CISAがKEVに緊急追加

THREAT GAUGE算出基準

IMPACT（影響範囲）8.5
URGENCY（対応緊急度）9.5
EXPLOIT（悪用の容易さ）9.0

“CVSS 9.8。CISA KEV追加済み。積極的悪用が確認されており、PoC相当の攻撃が展開中。”

01 · Overview

ニュースの概要

米CISAは2026年8月6日、JetBrainsのCI/CDサーバー「TeamCity」オンプレミス版に存在する深刻なリモートコード実行脆弱性（CVE-2026-63077、CVSS: 9.8）を既知の悪用脆弱性（KEV）カタログに追加した。認証なしにTeamCityサーバーへアクセスできる攻撃者がRCEを達成できるもので、実際の攻撃事例が確認されている。

CVE-2026-63077は、JetBrains TeamCityのオンプレミス版に存在する信頼できないデータのデシリアライゼーション（Deserialization of Untrusted Data）に起因する脆弱性だ。未認証の攻撃者がTeamCityサーバーにアクセスできる場合、サーバー上で任意のコードを実行できる。

TeamCityはソフトウェアのビルド・テスト・デプロイを自動化するCI/CDプラットフォームであり、ソースコード、環境変数（シークレット）、デプロイ認証情報、クラウドアクセスキーなどの機密情報を大量に保持している。侵害された場合、ソフトウェアサプライチェーン全体への影響が懸念される。

CISAは米国連邦行政機関（FCEB）に対して2026年8月9日（3日以内）を期限に緩和策の適用または使用停止を指示した。JetBrainsはパッチをリリース済みであり、国内でTeamCityオンプレミス版を利用している組織も同様の対応が強く求められる。

CVE番号
CVE-2026-63077
CVSSスコア
9.8（Critical）
脆弱性種別
認証不要RCE（デシリアライゼーション）
CISA KEV追加日
2026年8月6日
対応期限（FCEB）
2026年8月9日
対象
TeamCity オンプレミス版

The Hacker News・CISA KEVカタログ情報に基づく。詳細な攻撃手法・被害件数は現在も調査継続中。

02 · Analysis

詳細な原因解説

本脆弱性の技術的原因は、TeamCityが内部処理でJavaシリアライズオブジェクトを受け取るエンドポイントの認証ガードが不十分だったことにある。デシリアライゼーション脆弱性は、攻撃者が細工したシリアライズデータを送りつけることで、サーバー側でJavaオブジェクトの生成プロセスを悪用してOSコマンドを実行させるものだ。

TeamCityは多くの場合、本番デプロイのための認証情報（AWSキー、Kubernetes証明書、GitHubトークン等）を環境変数やシークレットストアとして管理している。RCEが成立した攻撃者はこれらを即座に抜き取ることができ、ソフトウェアサプライチェーン全体への被害拡大が懸念される。

過去にもTeamCity（CVE-2024-27198等）がランサムウェアグループの標的となった事例があり、CI/CDサーバーはソフトウェア供給網の急所として繰り返し攻撃を受けている。インターネットに直接公開されているTeamCityインスタンスが特に危険だ。

国内では本社のIT部門管理下から切り離して個別部門が自前でTeamCityをホストしているケースもあり、パッチ管理が後手に回ることがある。シャドウITとしてのCI/CDサーバーの棚卸しも急務だ。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

SCAMPER：TeamCity侵害後のサプライチェーン攻撃予測

Q. 攻撃者はTeamCityへのRCEを「組み合わせ（Combine）」「拡張（Magnify）」してどのような上位脅威を生み出すか？

2024年のTeamCity悪用事例と同様に、RCEで初期アクセスを得た攻撃者はビルドスクリプトにマルウェアを埋め込み（Combine with supply chain）、その組織が作成する全ソフトウェアパッケージに悪意あるコードを注入するシナリオが最も深刻だ。さらに、TeamCityに登録されたAWSキーを使ってクラウドリソースを横展開（Magnify via cloud pivot）し、データ窃取やランサムウェアの展開につなげることも想定される。SaaS型ソフトウェアを提供するISVがターゲットになった場合、そのエンドカスタマーへの2次被害が発生する可能性がある。

システム思考：CI/CDが「最も弱いリンク」になる構造

Q. なぜCI/CDサーバーへの攻撃はソフトウェアサプライチェーン全体を危険にさらすのか？

CI/CDサーバーはソフトウェア開発・デプロイの中枢ノードであり、ソースコードリポジトリ・クラウドインフラ・本番デプロイ先への認証情報を一箇所に集中させる構造上の特性を持つ。このアーキテクチャは利便性と引き換えに「単一の侵害が全てのダウンストリームを汚染できる」リスクを内包している。組織が大きくなるほどCI/CDは複数チームが共有するため管理の死角が生まれやすく、エンタープライズほどパッチ適用のガバナンスが複雑になる逆説的な構造がある。

今すぐ実装できる防衛策

最も即効性が高い対策はTeamCityのネットワーク公開範囲の制限だ。インターネットからの直接アクセスを遮断し、VPN経由のみに限定するだけで攻撃面の大半を排除できる。AWSであればセキュリティグループで許可IPを社内IPに絞り込む。

シークレット管理の集中化も重要だ。TeamCityのビルド設定にベタ書きされている認証情報をHashiCorp Vault、AWS Secrets Manager、またはGitHub Actions Secretsに移行し、ビルド実行時に動的に取得する設計に切り替えることで、CI/CDサーバーが侵害されてもシークレットの直接露出リスクを減らせる。

06 · AI Prompt

AI対策プロンプト

私は[組織名]の[役職]です。当組織ではJetBrains TeamCity [バージョン]をオンプレミスで運用しており、CVE-2026-63077（CVSS 9.8のRCE脆弱性）の影響を受ける可能性があります。[クラウド/オンプレミス環境]環境において、パッチ適用・シークレットローテーション・ネットワーク分離を優先度順に実施するための対応計画を、経営層への報告用サマリーと技術担当者向け詳細手順の2段構成で作成してください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自社または担当組織の名称

あなたの役職・担当領域

現在運用中のTeamCityバージョン

インフラ構成の概要

キーワード

  • TeamCity
  • CVE-2026-63077
  • RCE脆弱性
  • サプライチェーン攻撃
  • CISA KEV

SOURCES · 参考情報源