I. 概要
JetBrainsは2026年7月27日（以降、日本時間）、TeamCity（オンプレミス版）におけるリモートコード実行につながる脆弱性（CVE-2026-63077）に関する情報を公表しました。本脆弱性が悪用された場合、遠隔の第三者によって任意のOSコマンドを実行される可能性があります。また、TeamCityが動作する権限によっては、TeamCityのデータ、設定、保存された認証情報の漏えいや、サーバーの状態の変更、ビルド成果物や後続のCI/CDパイプラインの整合性が損なわれる可能性があるとのことです。その後、JetBrainsは8月7日に、本脆弱性の悪用に関する報告を受けているとの情報を公表しています。また、8月8日にRapid7が本脆弱性を悪用して任意のコマンドを実行可能とするエクスプロイトコードを公開しています。
JetBrains
Critical Security Issue Affecting TeamCity On-Premises (CVE-2026-63077) - Update to 2025.11.7 or 2026.1.3 Now
https://blog.jetbrains.com/teamcity/2026/07/cve-2026-63077/
JetBrains
CVE-2026-63077: Additional Guidance Following Reports of Active Exploitation
https://blog.jetbrains.com/teamcity/2026/08/cve-2026-63077-update/
Rapid7
Rapid7 Analysis: Unauthenticated Remote Code Execution in JetBrains TeamCity (CVE-2026-63077)
https://www.rapid7.com/blog/post/ra-unauthenticated-rce-in-jetbrains-teamcity-cve-2026-63077/
JPCERT/CCでは、記事公表時点において、本脆弱性の影響を受けるバージョンのTeamCityが国内で稼働していることを確認しています。すでに本脆弱性を悪用する攻撃が発生していることを踏まえ、本製品を利用している場合は、使用しているバージョンを確認のうえ、速やかに対策および侵害調査の実施を検討してください。
II. 対象
対象となる製品およびバージョンは次のとおりです。詳細は、JetBrainsの最新情報をご確認ください。
- TeamCity 2026.1.3より前のバージョン
- TeamCity 2025.11.7より前のバージョン
※TeamCity（クラウド版）については、ユーザーによる対処は不要とのことです。
III. 対策
JetBrainsの情報を参考に、本脆弱性を修正する最新のアップデートを適用してください。
IV. 回避策
2017.1およびそれ以降のバージョンのTeamCityに向けて、CVE-2026-63077のみを修正するセキュリティパッチプラグインがJetBrainsから提供されています。詳細は、JetBrainsの情報をご確認ください。
※2017.1から2018.1までのバージョンにセキュリティパッチプラグインを適用した場合、サーバーの再起動が必要になります。
V. 侵害検出方法
JetBrainsから脆弱性が悪用された場合に確認すべきTeamCityのサーバーのログに関する情報が提供されています。詳細は、JetBrainsの情報をご確認ください。
また、Rapid7から脆弱性の悪用に使用されるエンドポイントや、脆弱性が悪用されたTeamCityのサーバーのログに残る痕跡に関する情報が提供されています。あわせて侵害調査の参考にしてください。
CyberNewsFlashは、注意喚起とは異なり、発行時点では注意喚起の基準に満たない脆弱性の情報やセキュリティアップデート予告なども含まれます。今回の件を含め、提供いただける情報がありましたら、JPCERT/CCまでご連絡ください。
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
サイバーセキュリティコーディネーショングループ
Email：ew-info@jpcert.or.jp
