eMudhra社が所有する8つのシームレスな中間認証局（Intermediate CAs）の暗号鍵の脆弱性に関する2026年10月のセキュリティ上の発見を受け、JetBrains社は、TeamCityプラットフォームのユーザーに対し、開発および運用環境の安全性を確保するための緊急技術ガイダンスを発行しました。
何が起きたのか？
eMudhra社の8つの認証局の秘密鍵が脆弱であり、公開データから復元可能であることが判明しました。eMudhra社は、本脆弱性の公表前に悪用された証拠はないと確認していますが、リスクは、Javaランタイム環境などのトラストストア（Trust Stores）に依存するソフトウェアコンポーネントが、侵害されたこれらの認証局から発行された証明書を信頼し続ける可能性がある点にあります。
ユーザーにとっての実質的な変更点は何か？
JetBrains社は、脆弱性はTeamCityプラットフォーム自体にあるのではなく、依存するインフラストラクチャに影響を与えていると強調しています。そのため、DevOpsチームは以下の手順を実行する必要があります。
- Javaランタイム環境（JRE）の更新：TeamCityサーバーおよびビルドエージェントで使用されているJava環境を、CVE-2026-91403およびCVE-2026-114820の脆弱性に対処したバージョンに更新する必要があります。
- TeamCityの更新：システム内の影響を受ける証明書を自動的に検出するヘルスレポートが含まれている、2026.2.2または2026.1.6バージョンへのアップグレードが推奨されます。
- アップロードされた証明書の確認：Javaの更新だけでは、ユーザーが手動でTeamCityにアップロードした証明書は削除されません。そのため、ルートプロジェクトの証明書管理インターフェースを介して、影響を受ける証明書を確認し、削除する必要があります。
- CLIツールの更新：TeamCity CLIをバージョン1.6.1以降に更新する必要があります。これは、必要なセキュリティ修正を含むGoのバージョンを使用して再構築されています。
なぜこのニュースが重要なのか？
このインシデントは、CI/CD環境における信頼チェーン管理の重要性を思い出させるものです。TeamCityは開発運営の中心として機能するため、信頼された証明書の脆弱性は、なりすまし攻撃やデータ傍受への扉を開く可能性があります。JetBrains社が提供するアップデートは単なるソフトウェアの改善ではなく、生産環境における脆弱な証明書の悪用を防ぐための必要な予防措置です。
システム管理者はまた、オペレーティングシステム、GitやPythonなどのビルドツール、コンテナ（Docker）を含むサポートインフラストラクチャを確認し、侵害された証明書を含むトラストストアに依存していないことを確認する必要があります。