JetBrainsは、Cadenceがワークロードの調整に使用しているプラットフォームであるTeamCityの重大な脆弱性CVE-2026-63077が悪用され、Cadenceサービスが侵害されたことを確認しました。Cadenceでは、PyCharmのオプションプラグインを通じて、クラウドコンピューティングリソース上でプロジェクトを実行できます。そのため、このインシデントはサービスアカウントだけでなく、ユーザーが実行環境に接続したシステムや認証情報にも関係します。
JetBrainsが2026年8月28日午前11時50分（中央ヨーロッパ時間）に公開した最新の更新によると、影響を受けたサーバーはapi.cadence.jetbrains.comでした。影響期間は2026年8月8日から24日までで、同社は8月23日に悪用を検知し、調査を続ける間、8月24日にサーバーを停止しました。
どのデータとシステムが危険にさらされたのか？
JetBrainsによると、攻撃者は個人データにアクセスして抽出することができました。これには、ユーザー名、実名、メールアドレス、最終ログイン時刻、最後のアクセスに使用されたIPアドレスが含まれます。これにより、標的型フィッシング、ソーシャルエンジニアリング、なりすましのリスクが高まる可能性があります。
同社はまた、2024年のCadenceサーバーの完全なバックアップが侵害されたことを確認しました。JetBrainsの説明によると、このバックアップには認証情報、設定、実行によって生成されたファイル、ログまたはその他のデータが含まれているため、潜在的に露出したものとして扱う必要があります。侵害は複数のAWS IAMユーザーと、それらに関連する認証情報およびシークレットにも及びました。これには、サービスを使用したJetBrains従業員のアカウントや、同社のAWSアカウント内のS3バケットに保存されたファイルも含まれます。
JetBrainsは、アクセスされたデータの完全な範囲を現在も特定中であり、攻撃者が顧客所有のストレージバケットにアクセスしたかどうかは、現時点では把握していません。ただし、Cadenceが自分たちのバケットにアクセスするよう設定していたユーザーは、その接続に使用された認証情報が侵害された可能性を前提にする必要があります。
Cadenceユーザーに求められる対応
- Cadenceのジョブ実行に使用された可能性のあるすべての認証情報とシークレットを無効化し、その後ローテーションする。
- AWSアカウント、S3バケット、デプロイ環境、パッケージリポジトリ、コンテナを確認し、不審な活動がないか調べる。
- コードリポジトリを調査し、シークレット、Webhook、ユーザー、権限の変更を含む、不正なクローン、ダウンロード、変更がないか確認する。
- PyCharmからアップロードまたは同期されたプロジェクトファイルとコードを確認し、そこに埋め込まれたキー、トークン、機密データをローテーションする。
- 調査が完了するまで、すべての実行とその入力および出力を信頼できないものとして扱う。
JetBrainsが変更を推奨している認証情報には、AWS、Azure、Google Cloudのキー、GitHub、GitLab、Bitbucketのトークン、npm、Maven、NuGet、PyPIの認証情報、コンテナレジストリのキーに加え、Slackトークン、SSHキー、署名キー、サービスアカウントが含まれます。
このインシデントは実際に何を意味するのか？
ここでのリスクは識別情報の漏えいに限られません。プロジェクトの実行環境は、クラウドのシークレット、リポジトリのキー、デプロイシステムを扱う可能性があります。そのため、最も緊急の対応は、Cadence、バックアップ、または実行に利用可能な状態で保存されていたすべてのシークレットが露出したと仮定することです。直接的な侵害の兆候が確認されていない場合も同様です。JetBrainsはIPアドレスと侵害指標を公開しましたが、それらは網羅的ではなく、該当情報がないことはアカウントやシステムの安全性を証明するものではないと警告しています。
JetBrainsはサーバーを停止し、PyCharmのCadenceプラグインが使用するアクセストークンを無効化し、関係当局に報告しました。また、ユーザーはサービスの利用に関連する認証情報とシークレットの一覧を請求できますが、この一覧は網羅的ではないとの注意が示されています。顧客データへのアクセス範囲と調査の最終結果は、今後の更新を追跡する必要がある未解決の点として残っています。