JetBrains（ジェットブレインズ）は、統合開発環境（IDE）、Toolbox App（ツールボックス・アプリ）、Gateway（ゲートウェイ）、.NETツールなど、自社の開発ツールスイートおよびプログラミング環境を対象とした重大なセキュリティアップデートの提供開始を発表しました。これは、認証局（eMudhra）が発行した8つの中間証明書の秘密鍵が侵害されたことが発見されたためです。
セキュリティ脅威の性質と作業環境への影響
この侵害は、トラフィックを監視するネットワーク上の攻撃者が、JetBrainsツールが接続するウェブサイトやサービスになりすます可能性があるため、潜在的な危険性を孕んでいます。開発環境およびToolbox AppはJetBrains組み込みランタイム環境の信頼ストアに依存しているため、オペレーティングシステムのアップデートだけではユーザーをこれらのリスクから保護するのに不十分です。
同社は、ランタイム環境を更新して問題を解決するためにOracleの脆弱性修正を統合するとともに、信頼された証明書の独自のストアを持つバックグラウンドサービス（jetbrainsd）向けに個別のアップデートを提供しました。公開時点では、ユーザーに対してこの脆弱性が実際に悪用された事例は確認されていないと強調しつつも、即座に対処するよう強く求めました。
実質的に何が変わるのか？
開発者やユーザーは、作業環境の安全を確保するために、以下のような実践的な措置を講じる必要があります。
- IntelliJ IDEA、PyCharm、Riderなどの統合開発環境（IDE）を新しい安全なバージョンにアップデートする。
- Toolbox Appを最新バージョンにアップデートし、修正プログラムが提供されない古いバージョンの使用を避ける。
- アプリの直接アップデートが困難な場合は、バックグラウンドサービス（jetbrainsd）をアップデートし、バージョン0.9.9728以降をインストールする。
- 即座のアップデートが不可能な場合の代替手順として、影響を受けるルート証明書の手動削除や、必要に応じた組み込みブラウザの無効化を行う。
サポート体制と一時的な代替手段
JetBrainsは、2025年以前にリリースされた古いバージョンに対してはこの問題のアップデートが提供されないため、ユーザーはサポートされているバージョンへ移行する必要があると説明しました。直接アップデートを実行できない場合のために、同社はJava環境のコマンドラインツールを使用した証明書リストの手動クリーンアップに関するガイドラインを提供するとともに、関連する脆弱性を回避するために組み込みのJCEF（Java Chromium Embedded Framework）ブラウザを無効にする方法を解説しています。