IntelliJ IDEAなどが侵害された証明書を信頼、修正版あり
JetBrainsのToolbox AppとIntelliJ IDEAで、常駐のjetbrainsdが侵害された中間証明書を信頼してしまう脆弱性が公表されました。開発者のパソコンを抱える組織は、使われている版を洗い出し、修正版へ更新してください。
急ぎ度: 早めに
CVSS v3は9.0のcriticalで修正版も出ていますが、KEVへの掲載はなく、攻撃の複雑さが高い評価のため、至急ではなく早めの更新が妥当です。
関係があるか
開発者のパソコンにToolbox AppやIntelliJ IDEAを入れている組織が対象です。自社の開発端末だけでなく、委託先や個人持ちの開発環境も棚卸しの範囲に入ります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| JetBrains Toolbox App | 3.9.0以上3.9.1未満、および3.8.2未満 | 3.9.1（3.9系）、3.8.2（3.8系以前） |
| JetBrains IntelliJ IDEA | 2026.2.4未満 | 2026.2.4、または2026.3 |
確かめ方
- 1Toolbox Appの設定画面やアプリ情報で、版が3.9.1以上か、3.8系なら3.8.2以上かを確認します。
- 2IntelliJ IDEAは、メニューの「Help」から「About」を開いて版を確認します。2026.2.4または2026.3より古ければ対象です。
- 3Toolbox Appは複数のIDEをまとめて管理するため、端末ごとにどの版のIDEが入っているかも一覧で確かめます。
- 4IntelliJ IDEA以外のJetBrains製品が対象かどうかは、JetBrainsのセキュリティ告知で確認してください。
何が起きたか
JetBrainsの開発ツールが、すでに信頼できなくなった中間証明書を、正規のものとして受け入れてしまう脆弱性です。10月30日に公表されました。
Toolbox AppとIntelliJ IDEAで動くjetbrainsdというデーモンが、侵害を受けた中間証明書を信頼したままになっていました。分類は証明書の検証不備（CWE-295）です。通信相手が本物かどうかの判断が崩れるため、偽の相手を見抜けなくなります。
修正版はToolbox Appが3.9.1と3.8.2、IntelliJ IDEAが2026.2.4と2026.3です。参考情報には、認証局eMudhraの証明書インシデントに関する告知も挙がっています。経緯の詳細はJetBrainsとeMudhraの告知で確認できます。
攻撃の流れ
-
1
中間証明書の侵害
証明書の信頼の鎖の途中にある中間証明書が、侵害された状態になっています。
-
2
通信への割り込み
攻撃者が開発端末と相手先の通信経路に入り込める位置を得ます。
-
3
偽の相手を信頼
jetbrainsdが侵害された中間証明書を信頼し、偽の相手を見抜けません。
-
4
端末への影響
機密性・完全性・可用性のいずれにも大きな影響が及びます。
どう悪用されるか
認証は不要で、利用者の操作も要りません。ネットワーク経由で狙われる脆弱性です。ただし攻撃の複雑さは高いと評価されており、通信経路に割り込めるなど、攻撃者に有利な条件が整う必要があります。
成功した場合の影響は、機密性・完全性・可用性のすべてで高く、影響範囲も脆弱なコンポーネントの外へ広がる評価です。開発端末にはソースコードや認証情報が集まりやすいため、被害が開発環境の外へ波及する可能性があります。具体的な被害の想定は、JetBrainsの告知で確認してください。
今すぐやること
-
1
対象の版を洗い出す
Toolbox AppとIntelliJ IDEAが入っている端末を、資産管理ツールや開発チームへの聞き取りで一覧にします。委託先や個人所有の端末も含めます。
-
2
修正版へ更新する
Toolbox Appは3.9.1または3.8.2以上、IntelliJ IDEAは2026.2.4または2026.3以上へ更新します。更新後は、版が上がったことを端末ごとに確認します。
-
3
JetBrainsの告知を読む
セキュリティ告知とブログ記事で、ほかの製品への影響や、更新できないときの対処、経緯の詳細を確認します。
-
4
更新が遅れる端末を把握する
検証などの理由で更新できない端末は、一覧にして期限を決めます。その間の使い方は、下の回避策に従います。
すぐ更新できないとき
修正版を当てるまでの間は、公共Wi-Fiなど信頼できないネットワークでの利用や更新を控えてください。これは通信経路に割り込まれる機会を減らすつなぎです。公式の回避策の有無は、JetBrainsの告知で確認してください。
背景
Toolbox Appは、JetBrains製のIDEをまとめて導入・更新する管理ツールです。IntelliJ IDEAとともに開発者のパソコンに入り、ソースコードや各種の認証情報を扱う端末で動きます。今回の対象は、そうした端末で通信相手を確認する部分です。
証明書の検証は、中間証明書を含む信頼の鎖をたどって通信相手の正しさを判断する仕組みです。途中の中間証明書が侵害されると、その先にある証明書も信用できなくなります。このため、侵害された証明書を信頼し続けるソフトウェアは、偽の相手を見分けられなくなります。
よくある質問
Q.IntelliJ IDEA以外のJetBrains製IDEも対象になりますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| JetBrains | Toolbox App |
3.9.0 以上 3.9.1 未満 3.8.2 未満 |
3.9.1 3.8.2 |
| JetBrains | IntelliJ IDEA |
2026.2.4 未満 |
2026.2.4 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
In JetBrains Toolbox App before 3.9.1 and 3.8.2; IntelliJ IDEA before 2026.3 and 2026.2.4, the jetbrainsd daemon trusted compromised intermediate certificates
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cve@jetbrains.com
- web cve@jetbrains.com
- web cve@jetbrains.com
- web cve@jetbrains.com
- web nvd.nist.gov
- web blog.jetbrains.com
- web jetbrains.com
- web github.com