JetBrainsが悪用報告を公表しCISA KEVに追加されたTeamCity CVE-2026-63077について、影響版、修正版、公式パッチ、ログと不審エージェント、CI/CD資格情報・成果物の確認順、初動対応とエスカレーション条件を公式情報に基づき整理します。
この記事の目次 9項目から選ぶ
何が起きたか
2026年8月5日、米国CISAは JetBrains TeamCityのCVE-2026-63077 を Known Exploited Vulnerabilities（KEV）カタログへ追加し、米国連邦政府機関向けの対応期限を2026年8月8日としました。
JetBrainsは2026年8月7日の公式更新で、未修正のTeamCity On-Premisesサーバーに対する悪用と悪用試行の報告を受けたと公表しました。CVEレコードによるCNA CVSS v3.1は 9.8 Critical です。TeamCity On-Premisesの全バージョンが影響対象として案内され、修正版は 2025.11.7 と 2026.1.3 です。直ちに通常更新できない2017.1以降の環境向けには、公式Security Patchプラグインも案内されています。TeamCity CloudはJetBrainsが更新済みで、利用者側の対応は不要とされています。
まず行うべきことは、TeamCity On-Premisesの有無、バージョン、外部到達性、修正版または公式パッチの適用状況を確定し、更新前のTeamCityログを保全することです。続いて、公式情報が示すログ記録、不審なビルドエージェント、管理者・トークン・VCS接続・ビルド設定・成果物を確認します。
| 項目 | 公式情報から確認できる内容 |
|---|---|
| CVE | CVE-2026-63077 |
| 対象 | TeamCity On-Premisesの全バージョン |
| 修正版 | 2025.11.7、2026.1.3 |
| 代替対応 | TeamCity 2017.1以降向けSecurity Patchプラグイン |
| TeamCity Cloud | JetBrainsが更新済みで利用者側の対応不要 |
| CNA CVSS v3.1 | 9.8 Critical |
| CISA KEV追加日 | 2026-08-05 |
| CISA対応期限 | 2026-08-08 |
| ランサムウェア利用 | CISA KEV JSONではUnknown |
現時点で公開情報から確認できる範囲では、個別組織の被害規模や攻撃主体を断定できません。JetBrainsが挙げるログ文字列やエージェント名も、単独で侵害を証明するものではありません。時刻、接続元、アカウント、設定変更、ビルド、成果物を関連付けて判断します。
影響を受ける可能性がある組織・担当者
TeamCityはソースコード、VCS、ビルドエージェント、パッケージレジストリ、クラウド、デプロイ先へ接続するCI/CD基盤です。ビルドサーバーの不審操作は、TeamCity本体だけでなく、資格情報、ビルド成果物、リリース、下流環境へ影響する可能性があります。
| 読者・担当 | まず確認すること | 見落とすと困ること |
|---|---|---|
| 開発基盤・SRE | On-PremisesかCloudか、版、外部到達性、HA・バックアップ | 旧サーバー、検証、移行前環境が残る |
| 開発者・リポジトリ管理者 | VCS Root、ビルド設定、パラメータ、プラグイン、成果物 | 正規のCI経路で不審な変更や成果物が生成される |
| ID・クラウド管理者 | 管理者、トークン、サービスアカウント、クラウド資格情報 | 更新後も有効な資格情報が下流アクセスに使われる |
| SOC・CSIRT | TeamCityログ、Web・ネットワーク記録、エージェント登録、変更履歴 | 証跡を更新・再起動・削除で失う |
| サービス・リリース責任者 | 対象期間のビルド、署名、配布、デプロイ、顧客影響 | 問題のある成果物をそのまま配布し続ける |
自社がTeamCity Cloudだけを利用している場合も、環境名、提供形態、確認根拠を記録します。過去の移行環境、検証サーバー、子会社・委託先のOn-Premises環境がないかも確認してください。
なぜ重要か
JetBrainsは未修正サーバーに対する悪用報告を公表し、CISAもKEVへ追加しています。TeamCityは開発・配布の信頼境界にあり、サーバーや管理アカウントの侵害が、ソースコード、トークン、ビルドエージェント、成果物、デプロイ先へ波及する可能性があります。
そのため、対応は「TeamCityを更新した」で終わりません。次の4つを分けて進めます。
- 露出を止める：未修正環境の外部到達性を狭める。
- 今後の悪用を防ぐ：修正版または公式Security Patchプラグインを適用する。
- 過去の影響を確認する：ログ、エージェント、管理者、設定、ビルド、成果物を見る。
- 信頼を回復する：影響する資格情報を失効し、必要な成果物を信頼できる環境で再生成・再検証する。
CI/CDのサプライチェーン確認全体は、開発ツール・OSSサプライチェーン確認チェックリストで作業票として記録できます。
まず確認すべきこと：初動チェックリスト
攻撃を再現せず、TeamCityの正規管理画面、構成管理、ログ、VCS・IdP・クラウドの監査機能を使います。
- TeamCity On-PremisesとCloudを、本番、検証、旧環境、子会社、委託先まで棚卸しした。
- On-Premises環境のフルバージョン、OS、HA・バックアップ、所有者、保守担当を記録した。
- 外部公開、VPN、リバースプロキシ、WAF、固定IP、管理ネットワークの到達範囲を確認した。
- 2025.11.7または2026.1.3への更新、または公式Security Patchプラグインの適用状況を確認した。
- 更新・再起動前にTeamCityログ、Web・プロキシ・ネットワーク記録、設定バックアップを保全した。
- JetBrainsが挙げる例外記録を検索し、時刻、送信元、対象、前後の操作と関連付けた。
- 想定外のビルドエージェント、特に名称が
scanで始まる登録の有無と作成時刻を確認した。 - 管理者、ユーザー、トークン、VCS Root、プラグイン、ビルド設定、パラメータの変更履歴を確認した。
- 対象期間に生成・配布・デプロイした成果物と、署名・ハッシュ・承認記録を確認した。
- Git、パッケージレジストリ、クラウド、署名・配布基盤の資格情報と監査ログを確認した。
- 不審点がある場合のCSIRT、リリース責任者、経営、顧客、JetBrains Supportへの連絡経路を確認した。
JetBrainsは、脆弱性に関係する可能性があるログとして com.thoughtworks.xstream.converters.ConversionException を挙げています。修正済み環境でブロックされた試行は ForbiddenClassException として記録される場合があります。いずれも、文字列があるだけで侵害を断定せず、時刻と周辺記録を確認してください。
推奨される初動対応
やること
- 環境を「Cloud」「修正済みOn-Premises」「未修正」「未確認」に分け、根拠と確認時刻を残す。
- 未修正On-Premisesの外部到達性を業務影響の範囲で制限し、JetBrains公式の修正版またはSecurity Patchを適用する。
- 更新前のTeamCityログ、設定、エージェント一覧、ユーザー・トークン、VCS Root、プラグイン、ビルド設定を保全する。
- 公式に示された例外記録と不審なビルドエージェントを、時刻、送信元、アカウント、設定変更と関連付けて確認する。
- 不審点があれば管理セッションと影響する資格情報を失効し、Git、レジストリ、クラウド、署名、デプロイ先の監査ログを確認する。
- 対象期間のビルド・成果物・リリースを特定し、必要に応じて信頼できる環境から再生成・再検証する。
- 更新後にバージョン、エージェント接続、ビルド、VCS接続、成果物、通知、ログ転送を確認する。
やらないこと
- PoC、攻撃リクエスト、外部サーバーへの探索で脆弱性を再現しない。
- 証拠保全前に不審なエージェント、ユーザー、トークン、ログ、ビルドを削除しない。
- 例外文字列や
scanから始まる名前だけで侵害と断定しない。 - TeamCity本体を更新しただけで、既存トークン、VCS接続、クラウド資格情報、成果物の確認を省略しない。
- TeamCity Cloud向けの対応とOn-Premises向けの更新手順を混同しない。
- 影響が不明なまま全成果物を無差別に破棄し、業務復旧と証跡を損なわない。
記録すべきこと
確認日時・タイムゾーン:
環境名 / 所有者 / 運用委託先:
On-Premises / Cloud:
フルバージョン / 修正版・Security Patch適用状況:
外部公開・接続制御・管理経路:
保全したTeamCity / Web / ネットワークログ:
例外記録の有無・時刻・周辺操作:
ビルドエージェントの確認結果:
管理者 / ユーザー / トークン / VCS Root / プラグインの変更:
対象期間のビルド / 成果物 / リリース:
Git / レジストリ / クラウド / 署名・配布基盤の確認結果:
失効・再発行した資格情報:
封じ込め / 復旧 / 再生成・再検証:
未確認事項 / 残リスク / 次回確認時刻:
担当者 / 承認者 / 連絡先:シークレットの値や個人情報をチケットへ貼り付けず、識別子、所有者、失効時刻、再発行先だけを記録します。削除・初期化の前にはインシデント時の証拠保全を確認してください。
危険度・優先度とエスカレーション判断
| 優先度 | 判断の目安 | 推奨する動き |
|---|---|---|
| 緊急 | 未修正で外部到達可能、不審なエージェント・管理者・設定・ビルド・成果物がある | 到達制限、証拠保全、CSIRT招集、資格情報とリリースの影響確認へ進む |
| 高 | On-Premisesが未修正または版不明、広い資格情報・本番デプロイ権限を持つ | 当日中に更新または公式パッチを適用し、影響期間と確認責任者を確定する |
| 中 | 修正済みで外部公開も限定され、現時点で不審点がない | 更新後確認とログ監視を継続し、完了根拠を残す |
| 要確認 | Cloud/On-Premises、所有者、旧環境、ビルド履歴が不明 | 「対象外」にせず、DNS、構成管理、契約、VCS連携から環境を特定する |
次の条件があれば、通常の更新作業だけで完了させず、インシデント対応へ上げます。
- JetBrainsが示す記録と同じ時刻帯に、不審な接続、エージェント登録、管理者・設定変更がある。
- 想定外のユーザー、トークン、VCS Root、プラグイン、ビルドステップ、パラメータ変更がある。
- Git、パッケージレジストリ、クラウド、署名、デプロイ先で不審な利用がある。
- 対象期間の成果物が本番・顧客へ配布され、完全性を説明できない。
- ログ欠損や時刻不整合により、影響期間と操作を説明できない。
- 複数製品・顧客・環境へ到達できる資格情報がTeamCityに保存されていた。
資格情報の漏えい可能性がある場合は、GitHubトークン漏えい対応テンプレートまたは漏えい疑い初動テンプレートを使って、失効、ログ確認、影響範囲、報告を進めます。
よくある誤解
「TeamCity Cloudも利用者がパッチを当てる必要がある」
JetBrainsはTeamCity Cloudを更新済みで、利用者側の対応は不要と案内しています。ただし、自社の環境が本当にCloudだけか、残存するOn-Premisesがないかは記録します。
「2025.11または2026.1なら修正済み」
修正版は2025.11.7と2026.1.3です。メジャー・マイナー表記だけでなく、フルバージョンを照合します。
「例外ログがあれば侵害確定」
JetBrainsも、その記録が追加調査の手掛かりであることを説明しています。アプリケーションの通常処理で類似例外が出る可能性を考慮し、時刻、接続元、エージェント、設定変更と関連付けます。
「不審なエージェントはすぐ削除すべき」
封じ込めは重要ですが、名称、ID、作成時刻、接続元、関連ビルド、ログを保全する前に削除すると調査が難しくなります。先に証跡を残し、組織の対応手順に従って隔離・削除します。
「更新後にビルドが成功すれば対応完了」
ビルド成功は可用性の確認にすぎません。既存資格情報、不審な設定、過去の成果物、下流環境の完全性を別に確認します。
関連するCyberLens内部リンク
- 開発ツール・OSSサプライチェーン確認チェックリスト：このニュースに対応する実務チェックリスト。
- CVE初動対応チェックリスト：対象版、更新、所有者、期限、残リスクを記録する。
- GitHub secret leak対応チェックリスト：CI/CDに保存された資格情報の失効と監査ログ確認。
- GitHubトークン漏えい対応テンプレート：トークンの失効、再発行、影響確認、報告順序。
- Supply Chain Risk Managementとは：開発・配布経路全体でリスクを管理する考え方。
- SBOMとは：成果物と依存関係の範囲を確認するための基礎用語。
- KEVとは：既知悪用脆弱性を優先度へ反映する方法。
- サプライチェーン攻撃：開発・配布経路でのリスクと防御の全体像。
- インシデント時の証拠保全：ログや不審オブジェクトを削除する前の保全順序。
- セキュリティニュース一覧：新しい公式情報と更新記事を確認する。
