TeamCity On‑Premに未認証RCE（CVE‑2026‑63077）。CI/CDの中枢が狙われ、供給網リスクが跳ね上がっています。

今日の深掘りポイント

• 未認証のリモートコード実行により、TeamCityサーバー権限でOSコマンドを実行できるため、CI/CDの中枢が一撃で奪取されうる状況です。
• 影響はオンプレミスの全サポート版に及ぶとされ、HTTP(S)で外部公開している環境は特に危険です。供給網連鎖被害の入口になりやすいです。
• 脆弱性は私的開示（2026/07/10）を経て公表。一般に公開後24–72時間内に自動スキャンと投機的悪用が急増しやすく、即応が吉です（編集部の一般的知見に基づく見立てです）。
• Cloud版での積極的悪用の証拠は現時点でないとされますが、オンプレ展開はパッチまで脆弱です。外部公開の遮断とトークン・署名鍵のローテーションは同時並行で実施すべきです。
• メトリクスからは「新規性は中程度だが、即時性・実行可能性が極めて高い典型的なクリティカルRCE」と読めます。対応の巧拙が供給網の健全性を左右します。

はじめに

JetBrains TeamCity On‑Premisesに、未認証でのリモートコード実行（RCE）を許す重大な欠陥が公表されました。CVE‑2026‑63077として追跡され、オンプレのサポート対象版すべてに影響が及ぶとされています。攻撃者は認証チェックを回避し、TeamCityサーバープロセスの権限で任意のOSコマンドを実行できるため、ビルド構成や保存済み資格情報、プロジェクトデータが一挙に露出するおそれがあります。CI/CDは開発から本番への信頼の高速道路です。ここが途絶されれば、単なる一システムの侵害にとどまらず、アーティファクト改ざんを通じて顧客やパートナーに影響が波及しうるのが最大の怖さです。

深掘り詳細

事実関係（確認できている点）

• 対象はTeamCity On‑Premisesの全サポート版で、HTTP(S)で公開されているインスタンスは特にリスクが高いとされています。
• 攻撃者は認証を回避し、TeamCityサーバーの権限で任意のOSコマンドを実行可能です。これによりビルド構成、保存された資格情報、プロジェクトデータの露出リスクがあります。
• 脆弱性は2026年7月10日にセキュリティ研究者から私的に開示されたと報告されています。
• 現時点でTeamCity Cloud環境に対する積極的な悪用の証拠はないとされていますが、オンプレはパッチ適用までは脆弱なままです。
• 提供情報によれば、原因はTeamCityがエージェントポーリングプロトコルを処理する方法に起因する可能性が示唆されています（技術的詳細は今後の公開を要します）。

出典は末尾の参考情報をご覧ください。

編集部インサイト（なぜ危ないのか／どこから手を付けるか）

• CI/CDは「権限の集約点」です。VCS・クラウド・レジストリ・署名鍵・チャットOpsなどへの接続資格情報が集中し、しかも自動実行されます。未認証RCEはこの集約点を素通りで奪う格好になり、単発の踏み台ではなく「信頼の原点そのもの」を汚染しやすいです。
• 新規性は突出していない一方、到達容易性と横展開の速さが際立ちます。攻撃者は「管理者アカウントの新規作成」「ビルドテンプレートの改変」「プラグイン導入」など、目立たず恒久化しやすい手段を短時間で実施できます。検知が遅れるほど、改ざんアーティファクトが外部に出回るリスクが増します。
• 実務での肝は「パッチ」と「外部露出遮断」を同時にやりつつ、「信頼の再確立（鍵・トークンローテーション）」を最低限の順序で進めることです。特に署名鍵やクラウド長期鍵は優先度高です。CI/CD停止の意思決定は重いですが、供給網の信頼性を守る観点では早めの一時凍結も選択肢です。

脅威シナリオと影響

以下はMITRE ATT&CKに沿って想定した仮説シナリオです。技法は代表例であり、実際の手口は異なる可能性があります（仮説であることに留意ください）。

• シナリオA：外部公開サーバーの即時乗っ取りとビルド改ざん

  • 初期侵入（Initial Access）：公開TeamCityへの未認証RCE悪用（Exploit Public‑Facing Application）
  • 実行（Execution）：サーバープロセス権限でスクリプト実行（Command and Scripting Interpreter）
  • 永続化（Persistence）：管理者ユーザー作成／悪性プラグイン導入／ビルドテンプレート改変（Create/Modify Account, Modify Tooling）
  • 資格情報アクセス（Credential Access）：設定ファイル・シークレットストアからPATやクラウド鍵を取得（Unsecured Credentials, Credentials from Password Stores）
  • 防御回避（Defense Evasion）：ログ改ざん／ジョブ名を偽装したビルド投入（Modify Configuration）
  • 影響（Impact）：アーティファクトにバックドア注入、署名済みとして配布（Subvert Trust Controls/Code Signing）

• シナリオB：CI/CDからクラウド・レジストリへの横展開

  • 側方移動（Lateral Movement）：VCS・Artifact Registry・クラウドAPIへ取得済み資格情報で接続（Remote Services, Valid Accounts）
  • 収集・持ち出し（Collection/Exfiltration）：ビルドキャッシュ、環境変数、過去のアーティファクトを外部へ送信（Exfiltration Over Web Services）
  • 影響（Impact）：レジストリ差し替えやIaCパイプラインの改竄で下流環境を汚染（Supply Chain Compromise）

• シナリオC：静かな持続侵害

  • 永続化（Persistence）：特定ジョブのポストビルドで外部C2へビーコン、低頻度で活動
  • 発見困難化（Defense Evasion）：通常運用に紛れるようスケジュールや実行ユーザーを調整
  • 長期的影響（Impact）：リリースサイクルに合わせて段階的に改ざん、検出までの潜伏を最大化

供給網への影響は、単一企業内を超えてパートナー・顧客の環境へ波及しうるため、検知・封じ込め・根絶の三位一体でスピード感が求められます。

セキュリティ担当者のアクション

以下は緊急度順の実務ガイドです。環境やリスク許容度に応じて取捨選択してください。

• 即時（0–24時間）

  • 外部公開の遮断：TeamCityをインターネットから切り離し、VPN/ゼロトラスト配下に限定します。WAF任せは危ういので入口制御を強化します。
  • パッチ適用：JetBrainsが提供する最新パッチへ直ちに更新します。更新前にバックアップ（設定・DB・キー）を取得します。
  • リリース一時凍結の検討：クリティカル製品ラインは、信頼再確立まで出荷・デプロイの一時停止を含めて判断します。
  • 早期トリアージ：サーバーログ（一般にデータディレクトリ配下のlogs/など）で不審な管理者作成、プラグイン導入、ビルド定義変更、サーバープロセスからのshell/PowerShell起動、未知宛先への外向き通信を確認します。

• 速攻（24–72時間）

  • 資格情報の優先ローテーション：VCSトークン（GitHub/GitLab等）、クラウド長期鍵（AWS/GCP/Azure等）、コンテナレジストリ、アーティファクト署名鍵、チャットOpsトークンを優先順で入れ替えます。TeamCity上に保管・参照しているものを起点に網羅します。
  • 影響評価：直近のビルド・リリースの差分監査、ハッシュ・署名の再検証、異常な依存関係の混入チェックを行います。外部配布物は改めて署名・アテステーションを付与します。
  • 検知の強化：SIEMで以下のルールを暫定追加します。
    • teamcityサーバープロセスによるシェル起動・スクリプト実行のアラート化
    • 管理者権限のユーザー新規作成・権限変更の監査
    • ビルドテンプレート/パイプライン定義の変更イベントの高優先監視
    • サーバーから外部への不審なアウトバウンド通信（新規FQDN/ASN、異常ポート）
  • エージェント分離：ビルドエージェントとサーバーのネットワーク分離・最小到達性を見直し、不要な双方向通信を遮断します。

• 追補（1–2週間）

  • 最小権限運用：TeamCityサーバーの実行ユーザーを非特権化し、OSレベル権限を棚卸します。プロダクション到達経路（クレデンシャル・ネットワーク）を遮断します。
  • シークレット管理の外出し：環境変数や設定ファイルに平文保管せず、専用のシークレットマネージャと短命トークン（OIDCフェデレーション等）へ移行します。
  • 再発防止の品質担保：パイプライン定義のコード化（Pipeline as Code）、レビュー必須化、四眼原則、SLSAなどサプライチェーン保証の成熟度引き上げをロードマップ化します。
  • ログ保全と法的準備：証跡の完全保全、関係者通知基準の整理、規制・契約順守の確認を進めます。

• 監査のための観察ポイント（例）

  • 直近30日でのTeamCity管理者アカウントの追加・権限昇格
  • プラグインディレクトリへの新規JAR配置や不審な更新
  • パイプラインに追加された「任意コマンド実行」系の新規ステップ
  • 同一ジョブからの予期しない外部接続（IP/ドメインの新規性）
  • ビルドアーティファクトのハッシュ・署名の不一致

最後に、今回のメトリクスの含意について一言添えます。本件は「今すぐ動ける具体的な対処が明確な一方、放置すれば連鎖的な損害が大きくなる」類型です。技術的な新奇性よりも運用の綻び（外部公開、長期鍵の集中、最小権限の未徹底）が被害規模を決めます。CISOは「外部公開インスタンスの即時棚卸・遮断」「長寿命シークレットから短命トークンへの軸足移動」をこの機に経営アジェンダへ引き上げるべきです。

参考情報

• Critical JetBrains TeamCity Flaw Allows Unauthenticated RCE in On-Prem CI/CD