開発基盤TeamCityに乗っ取りの穴 CVE-2026-63077、米政府は3日で修正命令

米政府のサイバーセキュリティ機関CISAが、2026年8月5日、ソフトウェア開発の現場で使われるJetBrains「TeamCity」の脆弱性 CVE-2026-63077 を、実際に攻撃に使われている脆弱性のリストに追加しました。修正の期限は8月8日。追加からわずか3日です。

このリストは KEV（Known Exploited Vulnerabilities、実際に悪用が確認された脆弱性のカタログ）と呼ばれるもので、米国の政府機関には期限内の対処が義務付けられています。これまでの期限は通常2〜3週間でした。3日という数字は、この制度が始まって以来ほとんど例がありません。

脆弱性そのものは7月27日にJetBrainsが公表済みで、修正版も出ています。IDでのログインもパスワードも一切必要なく、外部から直接サーバーに命令を実行できる穴です。深刻度は10点満点中9.8点。

ただし、この記事で最も正直に書いておかなければならないことがあります。CISAが「攻撃されている」と判断した根拠は、8月6日朝の時点で公表されていません。JetBrains側の告知は「悪用は確認していない」と書かれたまま更新されていません。この食い違いについては後半で詳しく整理します。

TeamCityとは何をするソフトなのか

TeamCityは、プログラムを製品の形に組み立てて出荷するための自動化サーバーです。開発者が書いたコードを受け取り、自動でテストして、アプリやインストーラーの形にまとめ、配布先へ送り出すところまでを担当します。工場でいえば製造ラインと出荷場を兼ねた設備です。

こうした仕組みは業界では「CI/CD」と呼ばれます。TeamCityはその代表的な製品のひとつで、開発ツール「IntelliJ IDEA」で知られるチェコのJetBrainsが作っています。同社の製品では、社員アカウントを管理する「Hub」でも最悪評価10.0の脆弱性が今年公表されています。

この種のサーバーが厄介なのは、置いてあるものの中身です。製品を組み立てるには、配布サーバーへの接続情報、アプリに署名するための鍵、クラウドの管理者権限、ソースコードそのものが必要になります。それらは全部このサーバーに預けられています。

つまり、ここを取られると、盗まれるのは1社分のデータではありません。その会社が出荷するソフトを使っている全員が下流に控えています。2020年のSolarWinds事件で、正規のアップデートに攻撃者のプログラムが混ぜられて世界中に配られたのは、この製造ラインが侵入されたためでした。ソフトウェアの部品供給網（サプライチェーン）を狙う攻撃の入口として、ビルドサーバーは長く狙われ続けています。

CVE-2026-63077の中身

穴があるのは「エージェントポーリングプロトコル」と呼ばれる部分です。TeamCityは、実際に作業をする子機（エージェント）を複数ぶら下げて動く構成が普通で、子機は親サーバーに向かって「何か仕事はありますか」と定期的に聞きに行きます。その問い合わせを受ける窓口に不備がありました。

技術的な分類はCWE-502（信頼できないデータの復元）です。外から送られてきたデータを、中身を検める前にプログラムの部品として組み立て直してしまう、という種類の欠陥を指します。組み立て直される部品の中に命令が仕込まれていれば、そのまま動いてしまいます。

結果として、TeamCityのウェブ画面に到達できる人なら誰でも、認証を素通りしてサーバーを操作できます。JetBrainsの告知によれば、報告したのはAntoni Tremblay氏で、7月10日に非公開で伝えられ、17日後に修正版と同時に公表されました。

誰が狙い、何を持ち去るのか

TeamCityのサーバーを探して回るのは、身代金要求型ウイルスを使う犯罪グループと、他国の政府に雇われたハッカー集団です。これは想像ではなく、この製品では過去に2回、どちらも実際に起きています。

彼らがここで何をするかというと、暗号化してお金を要求する前に、まず出荷される製品そのものに細工を仕込みます。ビルドサーバーを握った攻撃者は、正規の手順で作られ、正規の署名がついた「本物のアップデート」の中に、自分のプログラムを紛れ込ませることができます。受け取る側から見ると、それはメーカーが配った正しいファイルにしか見えません。

被害はふたつの層に出ます。ソフトを使っている一般の利用者は、疑う理由のないアップデートを自分で適用して感染します。開発している企業の側は、保管していた署名鍵とクラウドの権限を失い、出荷済みの製品を全部疑わなければならなくなります。過去に日本国内で起きた大規模なランサムウェア被害と同じで、入口はたいてい、外に向いていた1台のサーバーです。

なぜ期限が3日なのか

この案件で最も目を引くのは、深刻度の数字よりも対応期限の短さです。

これまで、KEVに載った脆弱性の修正期限は原則として2週間でした。根拠になっていたのは2021年の指令「BOD 22-01」です。ところがCISAは2026年6月10日、これを廃止して新しい指令「BOD 26-04」に置き換えました。一律の日数をやめ、危険度に応じて期限を変える方式です。

期限を決める材料は4つあります。

4つ全部に当てはまると、最短の3日枠に入ります。CVE-2026-63077はきれいに4つとも埋まりました。8月5日に登録され、期限が8月8日になっているのは、この計算どおりの結果です。

しかもBOD 26-04の3日枠は、パッチを当てるだけでは終わりません。実装ガイダンスには、同じ3日のうちにそのサーバーが既に侵入されていないかを調べる作業（フォレンジック・トリアージ）まで済ませることが書かれています。「直せば終わり」ではなく「直したうえで、手遅れでなかったかを確認しろ」という要求です。

CISAが期限短縮の理由として指令の中に書いているのは、攻撃側がAIを使い始めたことで、修正が公開されてから悪用が始まるまでの猶予が縮んでいる、という認識です。この新方式に切り替わってから、当サイトで扱った案件でもLangflowの脆弱性が8月4日に登録されて期限8月7日と、同じ3日枠が適用されています。異常事態というより、新しい基準が回り始めたと見るべきでしょう。

本当に攻撃されているのか

ここが、この記事で最も慎重に書くべき部分です。

KEVは定義上「実際に悪用が確認された脆弱性」だけを載せるカタログです。したがってCISAは、8月5日の時点で悪用の証拠を握っていることになります。CISAが公開しているカタログの生データを直接確認したところ、登録日2026-08-05、期限2026-08-08、身代金要求ウイルスによる悪用は「不明」と記録されていました。ここまでは確かな事実です。

問題は、その先が何も出ていないことです。

さらに奇妙なことに、CISA自身が各脆弱性に付けている評価データ（Vulnrichment）では、CVE-2026-63077の悪用状況が7月28日に付けられた「なし」のまま更新されていません。KEVに載せた部署の判断と、評価データを更新する部署の作業が、追いついていない状態です。

この食い違いをどう読むかですが、KEVの登録は日本時間の8月6日未明にあたります。セキュリティ企業の分析も報道も、まだ何も出ていない時間帯です。単に世の中が追いついていないだけ、という可能性は十分にあります。

一方で、CISAのKEV登録が必ずしも「今まさに攻撃が始まった」を意味しない例もあります。同じTeamCityの2024年の脆弱性 CVE-2024-27199 は、悪用が確認されてから約2年後の2026年4月20日になってKEVに追加されました。登録のタイミングと攻撃の発生時期は、必ずしも一致しません。

現時点で書けるのは「CISAは悪用の証拠を得たと表明したが、その中身は公表されていない」ところまでです。「攻撃が多発している」とも「まだ安全だ」とも、どちらにも断定できません。ただし、対処の判断としてはそこは重要ではありません。修正版はもう出ているからです。

TeamCityは過去2回、実際に踏み台にされている

今回の脆弱性を軽く見るべきでない理由は、この製品の履歴にあります。

2023年10月、TeamCityの認証回避の脆弱性 CVE-2023-42793 が、北朝鮮政府と結びついた2つのハッカー集団に悪用されました。Microsoftの分析によると、侵入した端末に勝手に新しいアカウントを作って管理者グループに入れ、認証情報を抜き取る動きが確認されています。同じ年の12月には、CISA・FBI・NSAとポーランド当局が連名で、ロシア対外情報庁（SVR）が同じ穴を世界規模で使っていると発表しました。

2024年3月には、別の認証回避 CVE-2024-27198 が公開され、今度は身代金要求型ウイルスの出番になりました。トレンドマイクロの調査ではJasminというランサムウェアが、GuidePoint Securityの報告ではBianLianが、それぞれこの穴から入り込んでいます。無断で作られた管理者アカウント、仮想通貨の採掘プログラム、遠隔操作ツールの設置も確認されました。

このときの立ち上がりの速さは記録に残っています。脆弱性の詳細が公開された当日に、スキャンが始まっています。

2023年は国家機関、2024年は金銭目的の犯罪集団。標的として、この製品は既に十分知られています。今回の穴は過去2件よりさらに条件が緩く、ログインの必要が一切ありません。

自分の会社が対象かどうか

確認は2段階です。まず自社サーバーに置いた版（On-Premises）かどうか。JetBrainsが運用するTeamCity Cloudを使っているなら、今回は対象外です。JetBrainsは自社のクラウド環境について、この脆弱性による侵害の形跡がないことを検証済みだと告知しています。

自社に置いている場合、次はバージョンです。

すぐに本体を上げられない事情がある場合のために、JetBrainsはセキュリティパッチプラグインを用意しています。2017.1以降であれば適用でき、TeamCityの管理画面から自動でダウンロードするか、手動で入れることができます。本体の入れ替えより影響範囲が小さいので、検証時間が取れない環境ではこちらが現実的です。

あわせてやっておきたいのが、そもそもインターネットから直接見える必要があるのかの見直しです。この脆弱性は、TeamCityの画面に到達できる相手にしか使えません。社内やVPNの内側からしか届かない構成にしてあれば、外部から一斉に流し込まれる攻撃の対象からは外れます。JetBrains自身も、アクセス元を必要な範囲に絞ることを推奨しています。

そして、公開状態で運用していた期間がある場合は、更新して終わりにしないでください。BOD 26-04が3日以内のフォレンジック調査まで求めているのは、まさにこのためです。見覚えのない管理者アカウントが増えていないか、ビルド設定に覚えのない手順が追加されていないか、保管している認証情報が使われた形跡がないか。過去2回のTeamCity侵害では、いずれも不正なアカウント作成が最初の痕跡でした。

どれくらいの数が外に出ているのか

正確な台数は、残念ながら分かりません。

機器検索サービスのFOFAは、公表翌日の7月28日に「14万3千件以上が該当」と投稿しています。ただしこれは検索の一致件数であって、脆弱なサーバーの台数ではありません。過去の事例では、2023年時点でShodanが3,000台超、2024年時点で約2,200台という数字が使われていました。今回に対応する2026年の集計は公表されていません。

日本国内に何台あるかを示すデータも見つかりませんでした。JPCERT/CCやIPAからの注意喚起も、8月6日朝の時点では出ていません。国内向けの情報は、これから追いついてくる段階です。

脆弱性を最初に大きく報じたセキュリティ企業のRapid7は、公表2日後に危険性を指摘していました。

ここまでの経過

← スワイプで移動

3日という数字が示していること

CVE-2026-63077そのものは、対処のはっきりした脆弱性です。修正版は2週間近く前から出ており、古いバージョン向けのパッチも用意されています。自社サーバーに置いたTeamCityを使っているなら更新する、それだけの話です。

むしろ注目すべきなのは、米政府が期限を3日に切ったことのほうでしょう。パッチを当て、さらに侵入されていないかを確認するまでを3日で終えろというのは、多くの日本企業の変更管理の手続きでは物理的に無理な日数です。KEVに載った脆弱性の扱いは、事実上「予定に組み込むもの」から「予定を止めて割り込ませるもの」に変わりました。

加えて、この案件には気になる点が残っています。CISAは悪用を確認したと言いながら、その中身を出していません。JetBrainsは「把握していない」と書いたままです。政府の判断だけが先に走り、根拠が後から来る、という順序です。守る側は、根拠が出そろうのを待たずに手を動かすことを求められています。

TeamCityは2023年に国家機関に、2024年に犯罪集団に使われました。3度目があるかどうかは、まだ分かりません。分かっているのは、修正の手順が既に用意されていて、期限が8月8日だということだけです。

参照元

• ▸ JetBrains公式ブログ - Critical Security Issue Affecting TeamCity On-Premises (CVE-2026-63077)（2026年7月27日）
• ▸ CISA - Known Exploited Vulnerabilities Catalog（カタログ原本 catalogVersion 2026.08.05）（2026年8月5日）
• ▸ CISA - BOD 26-04: Prioritizing Security Updates Based on Risk（2026年6月10日）
• ▸ CISA - BOD 26-04 Implementation Guidance（2026年6月10日）
• ▸ NVD - CVE-2026-63077（2026年7月27日）
• ▸ Rapid7 - CVE-2026-63077: Critical unauthenticated remote code execution in JetBrains TeamCity（2026年7月29日）
• ▸ Help Net Security - JetBrains fixes critical unauthenticated RCE in TeamCity On-Premises（2026年7月28日）
• ▸ Microsoft Security - Multiple North Korean threat actors exploiting the TeamCity CVE-2023-42793 vulnerability（2023年10月18日）
• ▸ CISA - AA23-347A: Russian Foreign Intelligence Service (SVR) Exploiting JetBrains TeamCity CVE Globally（2023年12月13日）
• ▸ Trend Micro - TeamCity Vulnerability Exploits Lead to Jasmin Ransomware（2024年3月）
• ▸ GuidePoint Security - Threat Actors Actively Exploit JetBrains TeamCity Flaws to Deliver Malware（2024年3月）