JetBrains TeamCity の安全でないデシリアライズの脆弱性（CVE-2026-63077）

何が起きた

ソフトを自動で組み立てて試す道具 JetBrains TeamCity に、信頼できないデータを復元する処理（デシリアライズ）の弱点が見つかり、実際に悪用が確認されています。エージェント（作業を受け持つ機器）がサーバーに問い合わせる通信の仕組みを悪用され、ログインしていない攻撃者に、遠隔からコードを実行されるおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

自分たちのサーバーで動かす TeamCity（On-Premises）で、2025.11.7 より前、または 2026.1 系の 2026.1.3 より前のバージョンを使っている組織が影響を受けます。TeamCity Cloud の利用者は、作業は必要ありません。

何をすればいい

TeamCity を 2025.11.7 または 2026.1.3 以降に更新してください。すぐに更新できない場合は、2017.1 以降に入れられる公式のセキュリティパッチのプラグインを使えます（この弱点だけを直すもの）。インターネットから届くサーバーは、対策が済むまで外からの接続を一時的に制限するよう公式は勧めています。CISA も、この脆弱性について侵害の痕跡がないか調べるよう求めています。JetBrains は、サーバーの記録に com.thoughtworks.xstream.converters.ConversionException が出ていないか確かめるよう案内しています（これだけで悪用されたとは言えませんが、詳しく調べる必要があります）。また、許可していないエージェントの一覧に、名前が scan で始まるような見覚えのないものがないかも確かめ、あれば削除できます。

やることチェックリスト

• 2025.11.7か2026.1.3以降にするかパッチのプラグインを入れる
• 記録にConversionExceptionがないか確かめる
• 許可していないエージェントの一覧を確かめる

用語メモ

TeamCity

プログラムの組み立てやテストを自動で行うための、JetBrains のソフトです。

デシリアライズ 用語集で見る

保存や送信のために変換したデータを、元のプログラムの形に戻す処理のことです。