JetBrains Cadenceが侵害、TeamCityの重大脆弱性CVE-2026-63077を悪用 — 8月に不正アクセスと認証情報・S3データ露出

JetBrainsは2026年8月28日、PyCharmと連携するクラウド実行サービス「JetBrains Cadence」でセキュリティインシデントが発生し、同社の調査で不正アクセスと顧客データの露出が確認されたと公表した。同社は影響を受ける利用者へ直接連絡し、インシデントを封じ込める措置を取ったと説明している。JetBrainsは調査が進行中であり、新たな事実が判明し次第このページを更新するとしている。

何が起きたか — CadenceサーバがTeamCity脆弱性で侵害された

CadenceはPyCharmのオプションプラグインを通じて利用するJetBrainsホスト型のサービスで、利用者はクラウドの計算資源上でプロジェクトを実行できる。実行のオーケストレーションには同社製品のTeamCityが使われている。

JetBrainsは、TeamCityの重大な脆弱性であるCVE-2026-63077を2026年8月に開示した。この脆弱性は、未認証の攻撃者が脆弱なサーバ上で任意のコマンドを実行できる可能性があるものだ。

JetBrainsは、Cadence環境がCVE-2026-63077に対して脆弱であり、この脆弱性を通じて悪用されたことを確認したと説明している。侵害が確認されたサーバは api.cadence.jetbrains.com で、活動が確認された期間は2026年8月8日から2026年8月24日までだ。JetBrainsは2026年8月23日に悪用を検出し、翌24日に同サーバをオフラインにした。

JetBrainsは、パッチを適用すべきサーバにパッチが適用されていなかったことが原因だとし、「深くお詫びする」と表明している。

どのようなデータが影響を受けたか

JetBrainsの調査によると、攻撃者は以下のデータへアクセスしたと確認されている。

• 個人データ — ユーザー名、氏名、メールアドレス、最終ログイン時刻、最終アクセス時のIPアドレス。これらは標的型フィッシングやなりすましに悪用される可能性があると同社は指摘している。
• 2024年時点のCadenceサーバの完全なバックアップ — バックアップに含まれる認証情報や設定、アーティファクト、ログ、その他のデータは、露出したとみなす必要がある。
• 複数のAWS IAMユーザーと関連する認証情報・秘密情報 — Cadenceで利用されていたもので、JetBrains社員が同サービスを利用する際に使っていたIAMユーザーも含まれる。これらの認証情報は前述の2024年のバックアップに含まれていた。
• JetBrainsのAWSアカウント内のS3バケットに保存されたファイル — 同社はアクセスの全容を調査中としており、顧客アカウント側のストレージバケットにアクセスがあったかは現在不明としている。ただし、利用者がCadenceから自身のストレージバケットへ接続するよう設定していた場合、その接続に使われた認証情報が露出している可能性がある。
• PyCharmからCadenceへ同期されたソースコード — PyCharmでプロジェクトファイルをアップロードまたは同期してCadenceで実行していた場合、そのコードやコード内に含まれる認証情報・設定が侵害された可能性がある。

JetBrainsは、侵害されたCadenceサーバにアクセスできた攻撃者は、Cadenceに保存された認証情報、侵害されたバックアップに含まれるデータ、または影響を受けたサーバ上での実行に提供された認証情報や秘密情報の全てを入手できたとみなすべきだと説明している。

影響を受ける認証情報の範囲

同社が「侵害されたとみなすべき」としている認証情報には、次のようなものが含まれる。

• AWS、Azure、Google Cloudなどのクラウド認証情報
• GitHub、GitLab、Bitbucketなどのソースコード管理の認証情報・トークン
• npm、Maven、NuGet、PyPIなどのパッケージリポジトリの認証情報
• Docker Hub、ECR、GCR、ACRなどのコンテナレジストリの認証情報
• Slackトークン、Webhook、APIトークン、SSHやデプロイ鍵、サービスアカウント、署名鍵・証明書、その他Cadence実行で利用した外部システムの認証情報

JetBrainsが推奨する対応

JetBrainsは、Cadence利用者に対して次の対応を推奨していると公表している。以下の推奨は全て同社の公式発表に基づくものである。

• Cadence実行に使用した可能性のある全ての認証情報と秘密情報を直ちに失効またはローテーションする。 JetBrainsは、利用者がCadence利用に関連する認証情報と秘密情報の棚卸しを依頼できる窓口を用意しているが、その一覧は網羅的なものではないと注意を促している。
• Cadenceプロジェクト内の全ての実行について、入力と出力を含めて信頼できないものとして扱う。
• PyCharmからCadenceへ同期したソースコードやプロジェクトファイルを確認し、コード内に含まれる認証情報やトークン、その他機微な情報をローテーションする。
• 接続先のシステムで不審な活動がないか確認する。 具体的には、AWSアカウントやS3バケット、デプロイ環境、パッケージやコンテナレジストリなど、Cadenceで使用した認証情報でアクセス可能なシステムを重点的に確認するよう求めている。
• 侵害の有無を示す指標（IoC）として、2026年8月8日以降の活動、特にCadenceに保存またはCadence経由でアクセス可能だった認証情報を用いた認証や活動に注意する。

同社はまた、JetBrains CadenceプラグインがCadenceへの接続に使っていた全てのアクセストークンを無効化し、問題のサーバを2026年8月24日にオフラインにしたと説明している。現時点では、インシデントの影響は前述の api.cadence.jetbrains.com に関連するデータに限定されていることを確認したとしている。

日本の利用者への影響と確認事項

CadenceはPyCharmの拡張機能として提供されるクラウド実行基盤であり、日本国内でもPython開発や機械学習の開発でPyCharmを利用する組織や個人が対象になり得る。JetBrainsは影響を受ける利用者へ直接連絡したとしているが、Cadenceを利用したことがある組織は、同社からの通知の有無にかかわらず、上記の認証情報の棚卸しと失効・ローテーションを実施する必要がある。

特に、Cadenceの実行環境にクラウドやリポジトリの本番向け認証情報を渡していた場合、その認証情報が2024年のバックアップ経由でも露出している可能性がある。組織は、クラウドのアクセスログやS3への想定外のアクセス、ソースコード管理やコンテナレジストリへの不審なログインがないかを点検することが求められる。

出典

• JetBrains「Cadence security incident August 2026」（2026年8月28日、最終更新 2026年8月28日 11:50 CEST） https://blog.jetbrains.com/pycharm/2026/08/cadence-security-incident-august-2026/