JetBrains Hubに権限昇格の脆弱性、修正版あり
JetBrains Hubの2026.2.52556より前に、メール認証の流れを突いて権限を引き上げられる脆弱性が公表されました。Hubを自社で運用している組織は、版を確認して2026.2.52556へ更新してください。
急ぎ度: 早めに
CVSS v3は9.6で深刻度はcriticalですが、修正版は公表と同じ11月6日に出ており、更新すれば解消できます。
関係があるか
JetBrains Hubを自社のサーバーで運用している組織が対象です。Hubは社内の認証基盤として使われることが多く、インターネットから到達できる構成は優先度が上がります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| JetBrains Hub | 2026.2.52556より前のすべての版 | 2026.2.52556 |
確かめ方
- 1Hubの管理画面で、稼働中の版が2026.2.52556より前かどうかを確認します。
- 2Hubを単体で入れているのか、YouTrackなど別製品に同梱・連携して使っているのかを洗い出します。同梱している場合の版の対応関係は、JetBrainsのセキュリティ情報ページ（修正済みの脆弱性の一覧）で確認してください。
- 3Hubの画面や管理APIがインターネット側に公開されていないか、ネットワーク担当者に確認します。
何が起きたか
JetBrains Hubに、メールによる本人確認の途中で認証に使うメール情報を書き換えると、本来より高い権限を得られる脆弱性が見つかりました。2026年11月6日に公表され、同じ日に修正版の2026.2.52556が出ています。
分類はCWE-915で、本来は利用者が変更できない項目まで書き換えられてしまう種類の不具合です。CVSSでは、影響がHub単体の権限の範囲を超えて及ぶ評価（スコープ変更あり）になっています。
攻撃の流れ
-
1
Hubに到達
ネットワーク経由でHubのログイン・認証の画面にアクセスします。
-
2
メール認証の途中
メールによる本人確認の流れが進んでいる最中を狙います。
-
3
認証情報を変更
検証中のメール認証の情報が、意図しない形で書き換えられます。
-
4
権限が上がる
本来より高い権限を得て、情報の閲覧や変更ができる状態になります。
どう悪用されるか
CVSSの評価では、ネットワーク経由で攻撃でき、特別な条件は要らず、利用者の操作も不要です。低い権限のアカウントが必要とされているため、アカウントを持たない外部の人が直接狙えるとは限りません。ただし、一般の利用者アカウントを持つ内部の人や、そのアカウントを手にした第三者は条件を満たす可能性があります。
被害は、機密性と完全性への影響が「高」、可用性への影響は「なし」です。Hubで管理している情報の閲覧と改ざんが想定され、サービスが止まるタイプではありません。Hubは他のJetBrains製品の認証を担うことがあるため、連携先まで影響が及ぶ恐れがあると考えられます。
今すぐやること
-
1
稼働中の版を確認する
Hubの管理画面で版を確かめ、2026.2.52556より前なら更新の対象にします。複数環境（本番・検証）があれば、すべて洗い出します。
-
2
修正版の2026.2.52556へ更新する
インターネットから到達できるHubを先に更新します。更新前にバックアップを取り、更新後に版が上がっていることを確認します。
-
3
連携先の製品を把握する
HubをYouTrackなどの認証基盤にしている場合は、更新の影響と、同梱版の扱いをベンダーの告知で確認します。
-
4
権限の変更履歴を点検する
管理者権限を持つユーザーや、最近変更された権限・メールアドレスに心当たりのないものがないかを見ます。更新後の確認としても有効です。
-
5
ベンダーの告知を読む
JetBrainsのセキュリティ情報ページ（修正済みの脆弱性の一覧）で、回避策の有無や、クラウド版・同梱版の扱いを確認します。
すぐ更新できないとき
更新がすぐにできない間は、Hubへのアクセスを社内ネットワークやVPN経由に限る、不要なアカウントを無効にするといった一般的な緩和策でリスクを下げられます。これはベンダーが示した回避策ではなく、修正版に更新するまでのつなぎです。
背景
JetBrains Hubは、YouTrackなどJetBrainsのチーム向け製品のユーザー管理と認証をまとめて扱う基盤です。ログインの窓口と権限の持ち主を決める場所なので、ここで権限が崩れると、Hub自体より連携先の情報が問題になる恐れがあります。
CWE-915は、画面やAPIから送られた項目をそのまま内部の情報に反映してしまう型で、アカウント登録や設定変更の機能でよく現れます。今回はそれがメール認証の確認の途中という、アカウントの本人性を決める場面で起きた点が特徴です。
よくある質問
Q.クラウド版やYouTrackに同梱されたHubも対象ですか。
Q.Hubを使っていないが、YouTrackやTeamCityは使っています。更新は必要ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| JetBrains | Hub |
2026.2.52556 未満 |
2026.2.52556 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
In JetBrains Hub before 2026.2.52556 privilege escalation was possible by changing email authentication details during the verification flow
出典: CVE.org (CVE Program・cvelistV5) NVD
参照URL
- web jetbrains.com