IntelliJ IDEAのリモート開発に10.0の脆弱性 CVE-2026-64812ほか即更新を
世界中の開発者が使う開発ソフト『IntelliJ IDEA』に、危険度9.6の深刻な脆弱性CVE-2026-59792が見つかりました。細工されたプロジェクトを開くだけで、パソコン上で攻撃者のプログラムが実行される恐れがあります。対象は2026.1.4より前と2026.2より前の全バージョン。修正版が公開済みで、今すぐの更新が必要です。自分が使っているか確認を。
目次
世界中の開発者が使う開発ソフト『IntelliJ IDEA』に、危険度9.6の深刻な脆弱性CVE-2026-59792が見つかりました。細工されたプロジェクトを開くだけで、パソコン上で攻撃者のプログラムが実行される恐れがあります。対象は2026.1.4より前と2026.2より前の全バージョン。修正版が公開済みで、今すぐの更新が必要です。自分が使っているか確認を。
世界中の開発者が使う統合開発環境（プログラムを書くための総合ソフト）「IntelliJ IDEA（インテリジェイ・アイデア）」に、危険度が10点満点中10.0という最悪評価の脆弱性を含む複数の欠陥が新たに公開されました。今回とくに深刻なのは、離れた場所のサーバー上でIDEを動かして手元から操作する「リモート開発」機能で、パスワードなしで開発中のセッションに割り込まれ、命令を送り込まれたり設定を書き換えられたりする3件（CVE-2026-64812ほか）です。
これらは、開発元のチェコ・JetBrains社が2026.2で修正済みです。あわせて、先に公表された「細工されたプロジェクトを開くだけでコードを実行される」欠陥（CVE-2026-59792、危険度9.6）も本記事で整理します。どちらもIntelliJ IDEAを最新版へ更新すれば防げます。まずは自分が「リモート開発を使っているか」「古いバージョンを使っていないか」を確認してください。
| 管理番号 | どんな穴か | 危険度 | 修正版 |
|---|---|---|---|
| CVE-2026-64812 | リモート開発 認証なしで命令を送り込める | 10.0（緊急） | 2026.2 |
| CVE-2026-64813 | リモート開発 セッション設定を勝手に変更 | 10.0（緊急） | 2026.2 |
| CVE-2026-64814 | リモート開発 ファイルを不正に読める | 8.6（重要） | 2026.2 |
| CVE-2026-59792 | 不正なプロジェクトを 開くとコード実行 | 9.6（緊急） | 2026.1.4／2026.2 |
IntelliJ IDEAとは何か、リモート開発とは何か
IntelliJ IDEAは、チェコのJetBrains社が開発する統合開発環境（IDE）です。IDEとは、コードを書く・実行する・間違いを見つけるといった開発作業を1つの画面でまとめて行えるソフトのことです。とくにJavaやKotlinという言語の開発では事実上の定番で、企業のシステム開発から個人のアプリ制作まで、世界の何百万人という開発者が日常的に使っています。無料のCommunity版と有料のUltimate版があり、日本の開発現場でも広く使われています。
今回もっとも問題になっているのが「リモート開発（Remote Development）」という使い方です。これは、手元のパソコンには軽い接続用のソフトだけを置き、IntelliJ IDEA本体は離れた場所にあるサーバーやクラウド上で動かして、そこへ接続して開発する仕組みです。大きなプロジェクトを高性能なサーバー側で処理させたり、開発環境をチームで統一したりする目的で、企業やクラウド開発で広がっています。この「手元と遠くのサーバーをつなぐ通り道」の作りに、今回の欠陥がありました。
開発ソフトは、外部から受け取ったプロジェクト（他人が作ったソースコード一式）を開く、遠くのサーバーにつなぐ、といった動作を日常的に行います。その「つなぐ・開く」という入口そのものが攻撃の起点になり得るのがIDEの怖いところです。同じ構図の欠陥は、VS CodeのJava拡張機能の脆弱性や、AmazonのAI開発ツールKiroの脆弱性のように、開発ツールで繰り返し報告されています。
【最重要】リモート開発の接続を乗っ取られる3件
新たに公開された3件は、いずれもリモート開発のセッション（手元とサーバー側IDEをつなぐ通信）に関するものです。共通する問題は、その接続に対して「つないできた相手が正当な本人かどうか」の確認が十分でなかったことです。そのため、セッションに手が届く位置にいる第三者が、パスワードも利用者の操作もなしに割り込めてしまいます。とくに上2件は危険度が最悪の10.0で、ネットワーク経由・認証不要・利用者の操作不要（AV:N／PR:N／UI:N）と評価されています。
CVE-2026-64812：認証なしでセッションに命令を送り込める（10.0）
リモート開発のセッションに対して、本来必要なはずの認証を経ずに不正な入力を送り込める欠陥です。米国立標準技術研究所（NIST）は「重要機能に認証がない（CWE-306）」の分類で整理しています。攻撃者がこの穴を突くと、開発セッションを通じてサーバー側で意図しない処理を走らせることができ、事実上そのリモート環境を操られる恐れがあります。危険度は満点の10.0で、影響がソフトの枠を越えて広がる「スコープ変更（S:C）」がつき、機密性・完全性・可用性のすべてが「高」と評価されています。
CVE-2026-64813：セッションの設定を勝手に書き換えられる（10.0）
こちらは、リモート開発セッションの設定を不正に変更できてしまう欠陥です。本来サーバー側で守るべき安全上の判断を、接続してくる側（クライアント）に委ねてしまっていた作り（CWE-602）が原因とされています。設定を書き換えられると、セッションの動作を攻撃者に都合よく変えられ、そこからさらなる侵害の足がかりにされる恐れがあります。危険度は64812と同じく最悪の10.0です。
CVE-2026-64814：セッション経由でファイルを不正に読める（8.6）
リモート開発セッションを通じて、本来アクセス権のないファイルを読み出せてしまう欠陥です。原因は権限確認の欠落（CWE-862）で、影響は情報の漏えい（機密性）に限られるため、危険度は3件の中では最も低い8.6です。とはいえ、開発サーバーには他人のソースコードや設定、認証情報が置かれていることが多く、それらを盗み見られるのは軽視できません。
3件はいずれも2026.2で修正されており、JetBrainsは修正済みセキュリティ問題の一覧で公表しています。リモート開発を使っている環境は、最優先で2026.2以降へ更新してください。
攻撃者は誰を狙い、何をするのか
リモート開発の3件を突くと想定されるのは、開発用サーバーやクラウド環境に通信が届く位置にいて、そこで動く他人の開発セッションを乗っ取ろうとする攻撃者です。社内ネットワークにすでに入り込んだ内部の脅威、共用のクラウド開発基盤に相乗りした別テナント、あるいは接続経路が十分に守られていない開発サーバーを外から探し当てた攻撃者などが該当します。開発サーバーは本番環境の鍵やソースコードを抱えていることが多く、攻撃者にとって価値の高い標的です。
その相手がすることは、認証を経ずに開発セッションへ割り込み、命令を送り込んだり設定を書き換えたり、置かれたファイルを盗み見たりして、リモート開発環境を内側から掌握することです。いったんセッションを握られれば、そこにあるソースコードや認証情報を抜き取られ、その環境を踏み台に社内の別のシステムへ入り込まれる恐れがあります。
被害は個人の端末にとどまりません。開発チームが共同で使うサーバーが乗っ取られれば、チーム全員の成果物や鍵が一度に危険にさらされます。近年は開発者や開発基盤を起点に組織へ侵入する「サプライチェーン攻撃」が増えており、攻撃側がAIで攻撃を加速させている構造とも重なります。だからこそ、次章で「自分がどちらの状況に当てはまるか」を切り分けることが重要になります。
あなたはどちらの状況か——2系統で切り分ける
今回のIntelliJ IDEAの脆弱性は、攻撃の入口が異なる2系統に分かれます。自分がどちらに当てはまるかで、危険度と優先度が変わります。
- リモート開発を使っている——サーバーやクラウド上でIntelliJ IDEA本体を動かし、手元から接続して開発している場合は、認証なしで割り込まれる3件（64812／64813／64814）の対象です。危険度10.0を含み、最優先で対処が必要です。
- 手元のパソコンだけで使い、外部のプロジェクトを開くことがある——ローカルで完結して使っている場合は、リモート開発の3件の直接の対象にはなりにくい一方、不正なプロジェクトを開くと危険なCVE-2026-59792（9.6）の対象です。
- どちらにも当てはまる——リモート開発を使い、かつ外部のコードも開くなら、両系統の対象です。いずれにせよ2026.2へ更新すれば両方まとめて塞げます。
共通して言えるのは、2026.2以降へ更新すれば4件すべてが解消することです。バージョンが分からない場合は、次章以降の確認手順に沿ってチェックしてください。
もう一つの脆弱性——不正なプロジェクトを開くとコード実行（CVE-2026-59792）
リモート開発の3件とは別に、先に公表されていたのがCVE-2026-59792（危険度9.6）です。これは、攻撃者が用意したプロジェクト（ソースコード一式）を利用者が自分のIntelliJ IDEAで開いた瞬間に、パソコン上でコードが実行されるという欠陥です。ローカルで使っている開発者にとっては、こちらが主な注意点になります。
CVE-2026-59792：プロジェクトの作業場所IDの扱いから、実行ファイルを送り込める
IntelliJ IDEAは、プロジェクトを開くと、その作業場所を示す識別情報（ワークスペースID）をもとに設定ファイルなどを読み書きします。本来この識別情報は、決められたフォルダの内側だけを指すべきものでした。ところが、この値に「../」のような上位フォルダへ移動する記号を混ぜられると、決められた範囲の外へファイルを書き込めてしまう状態になっていました。NISTはこれを、相対パスによるディレクトリ移動の分類（CWE-23、いわゆるパストラバーサル）として整理しています。
攻撃の手口はこうです。攻撃者はワークスペースIDに細工を仕込んだプロジェクトを用意し、被害者がそれを開くと、IntelliJ IDEAが起動時などに自動で読み込む場所へ、攻撃者のコードを含むファイルが書き込まれ、そのまま実行されます。ログインは不要ですが、被害者がプロジェクトを開くという操作が引き金になります。便利そうなライブラリや面接課題、業務の受け渡しを装って配られたコードを疑わずに開くと、危険にさらされます。悪意あるサイトを開くだけでPCを操作されたAIコーディングツールClineの脆弱性と同じく、開発者の「開く」という日常動作が引き金になります。この欠陥は2026.1.4および2026.2で解消されています。
影響を受けるバージョンと対策
リモート開発の3件（64812／64813／64814）は2026.2より前のすべてのバージョンが対象で、2026.2で修正されています。プロジェクトを開く系のCVE-2026-59792は2026.1.4より前および2026.2より前が対象で、2026.1.4または2026.2で修正済みです。いずれにせよ2026.2以降へ更新すれば4件すべてを塞げます。IDE本体の「アップデートの確認」から最新版を適用してください。
| 今の状況 | 危険度 | やること |
|---|---|---|
| 2026.2より前 × リモート開発を使用 | 最も危険 （認証なしで乗っ取り） | 今すぐ2026.2へ更新 接続経路を見直す |
| 2026.1.4／2026.2より前 × 外部のコードを開く | 危険 （開くとコード実行） | 今すぐ最新版へ更新 不審なコードは開かない |
| 手元だけ・自分のコードのみ | 要更新 | 早めに最新版へ更新 |
| 2026.2以降（最新版） | 対策済み | 4件とも塞がれている |
すぐに更新できない場合の一時しのぎとしては、リモート開発の接続経路を社内だけに絞る（外部から届かないようにする）、出所の分からないプロジェクトを開かない、といった対応が効きます。IntelliJ IDEAには信頼できないプロジェクトを制限付きで開く「セーフモード」もあります。ただしこれらは時間稼ぎであり、根本的には最新版への更新が必要です。
確認できていること、まだ分からないこと
✓ 確認済みの事実
? まだ確認されていないこと
- ?これらの脆弱性が実際の攻撃に悪用されたという公式な報告は、公開時点で確認されていない
- ?米政府CISAが公開する「実際に攻撃が確認された脆弱性リスト（KEV）」には、公開時点で登録されていない（KEVの最新状況はこちらで確認できる）
- ?開発者・開発基盤を狙う攻撃は被害が組織全体に広がりやすく、修正公開後に手口が解析されて悪用が始まりやすい点に注意が必要
今すぐできる対策
対策の軸ははっきりしています。IntelliJ IDEAを2026.2以降へ更新することが最優先です。IDEの「Help（ヘルプ）」メニューから「Check for Updates（アップデートの確認）」を実行し、最新版を適用してください。JetBrainsの管理ツール「Toolbox App」で複数のIDEをまとめて入れている場合は、Toolbox側から更新できます。とくにリモート開発を使っている環境は、認証なしで乗っ取られる10.0の穴を抱えたままになるため、放置は禁物です。
リモート開発を使う場合は、あわせて接続経路の見直しも有効です。開発サーバーへの接続を社内ネットワークやVPNの内側だけに絞り、インターネットから直接届かないようにしておくと、外部からの割り込みリスクを下げられます。ローカルで使う場合は、出所の分からないプロジェクトやサンプルコードを不用意に開かない習慣が大切です。開発ツールは、拡張機能やプレビュー機能の欠陥、プロジェクトに入るだけでコマンドが走る欠陥のように、「つなぐ・開く」動作を突かれる事故が後を絶ちません。
| 立場 | 今できること | 優先度 |
|---|---|---|
| リモート開発の利用者 | 2026.2へ即更新 接続経路を社内・VPN内に限定 | 最優先 |
| ローカルの利用者 | 2026.2へ更新 不審なプロジェクトを開かない | 高 |
| 開発チーム管理者 | 全員の版数を確認・一斉更新 開発サーバーの露出を点検 | 高 |
よくある質問
Q. 自分のIntelliJ IDEAが対象のバージョンか、どう確認すればいいですか。
A. IntelliJ IDEAを起動し、「Help（ヘルプ）」メニューの「About（バージョン情報）」を開くと、現在のバージョンが分かります。2026.2より前であればリモート開発の3件の対象で、2026.1.4より前または2026.2より前であればプロジェクトを開く系の脆弱性の対象です。「Check for Updates（アップデートの確認）」から2026.2以降へ更新してください。Community版・Ultimate版のどちらも対象です。
Q. リモート開発を使っていなければ、10.0の3件は関係ありませんか。
A. これら3件はリモート開発のセッションに対する攻撃のため、リモート開発をまったく使っていない環境で直接突かれる可能性は低いといえます。ただし、チームの誰かが使っている、将来使う予定がある、といった場合は無関係とは言い切れません。確実なのは2026.2以降へ更新しておくことです。なお、ローカルだけで使っていてもCVE-2026-59792（プロジェクトを開く系）の対象である点は変わりません。
Q. すでに攻撃に悪用されているのですか。
A. 本記事の公開時点で、これらの脆弱性が実際の攻撃に使われたという公式な報告は確認されていません。米政府CISAの攻撃確認リスト（KEV）にも登録されていません。ただし危険度10.0を含む重大な内容で、開発基盤を狙う攻撃は被害が大きくなりやすいため、早めの更新が安全です。
Q. Android StudioなどIntelliJをもとにしたソフトも危険ですか。
A. IntelliJ IDEAをもとに作られた開発ソフトは複数ありますが、影響を受けるかは各製品の作りと取り込んだバージョンによります。今回の各識別番号はIntelliJ IDEAに対して割り当てられたものです。派生ソフトを使っている場合は、それぞれの提供元が出すセキュリティ情報を確認してください。
まとめ
今回の件は、世界中の開発者が使う定番の開発ソフトIntelliJ IDEAに、危険度10.0を含む複数の脆弱性が見つかったという話です。とくに深刻なのは、離れたサーバー上でIDEを動かす「リモート開発」で、認証なしにセッションへ割り込まれ、命令送信・設定変更・ファイル読み取りをされ得る3件です。あわせて、細工されたプロジェクトを開くだけでコードが実行されるCVE-2026-59792もあり、開発者のパソコンや開発基盤は組織の鍵を握っていることが多いため、被害が個人にとどまらない点が厄介です。
救いは、JetBrainsがすでに修正を公開していることです。2026.2以降へ更新するだけで4件すべてを防げます。開発ツールは「つなぐ・開く」という日常動作を突かれやすいという前提で、こまめな更新、リモート開発の接続経路の見直し、出所の分からないコードを安易に開かない習慣を身につけておきたいところです。新たな悪用の動きがあれば、あらためてお伝えします。
参照元
堀川 慎
Backend Engineer / AWS / Django / Go
