CLionのSafe Modeでコード実行の脆弱性、2026.2で修正
JetBrains CLionの2026.2より前の版に、制限付きのSafe Modeでもコードが実行される脆弱性が見つかりました。CLionを使う開発チームは2026.2へ更新し、外部から入手したプロジェクトの扱いも見直してください。
急ぎ度: 早めに
CVSS v3は9.6と高く、修正版2026.2も公開済みですが、利用者の操作が前提のため、至急ではなく開発端末の更新計画に早めに載せる水準と見ています。
関係があるか
C/C++の開発でCLionを使っている組織が対象です。開発者が外部のリポジトリや取引先から受け取ったプロジェクトをCLionで開く職場ほど、関係が深くなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| JetBrains CLion | 2026.2より前のすべての版 | 2026.2 |
確かめ方
- 1CLionのメニューから「Help」の「About」を開き、版が2026.2以降か確認します。
- 2JetBrains Toolbox Appで配布している場合は、管理画面でCLionの版を一覧にして、2026.2未満の端末を洗い出します。
- 3会社が配布していない個人導入のCLionも使われていないか、開発チームに申告を求めます。
何が起きたか
CLionには、信頼していないプロジェクトを機能を制限して開くSafe Modeがあります。ところが2026.2より前の版では、JSON compilation databaseを経由すると、そのSafe Modeの中でもコードが実行されてしまう脆弱性が見つかりました。
CVEは2026年11月6日に公開され、CVSS v3は9.6です。分類はCWE-829で、信頼できない範囲から持ち込まれた機能を取り込んでしまう種類の問題にあたります。JetBrainsは2026.2で修正しています。
JSON compilation databaseは、各ソースファイルをどんなコマンドでコンパイルするかを記したファイルです。CLionはこれを読み込んでコード解析やビルドの設定を組み立てます。制限をかけた状態で読み込んでも実行が防げなかった点が、今回の問題です。
攻撃の流れ
-
1
細工した資料を用意
攻撃者が、悪意ある内容のJSON compilation databaseを含むプロジェクトを用意します。
-
2
開発者に渡る
リポジトリの共有やファイル受け渡しなどを通じて、プロジェクトが開発者の手元に届きます。
-
3
CLionで読み込む
開発者がCLionでそのプロジェクトを扱い、Safe Modeの制限をすり抜けて処理されます。
-
4
端末上でコード実行
開発者の端末で、攻撃者の意図したコードが動きます。
どう悪用されるか
CVSSのベクターによると、ネットワーク経由で攻撃でき、事前の認証は要らず、条件も複雑ではありません。ただし利用者の操作が必要です。ここでいう操作は、細工されたプロジェクトを開発者がCLionで扱うことと考えられます。
また、影響範囲が変わる（Scope: Changed）と評価されており、被害はCLion単体にとどまらない見込みです。機密性・完全性・可用性への影響はいずれも高とされています。開発端末にあるソースコードや認証情報、ビルド環境への足がかりにされるおそれがあります。
今すぐやること
-
1
CLionを2026.2以降に更新する
開発者全員の端末が対象です。Toolbox Appなどで配布している場合は、配布側の版も2026.2以降に切り替えます。
-
2
JetBrainsの告知で詳細を確認する
JetBrainsのセキュリティ告知（修正済みの問題の一覧）で、このCVEの記載を確認します。回避策や他製品への影響の有無も、そこで読めます。
-
3
更新までは出所の不確かなプロジェクトを開かない
取引先や外部リポジトリ、メールで届いたプロジェクトは、更新が済むまでCLionで開かないよう、開発チームに伝えます。
-
4
更新前に外部プロジェクトを開いた端末を点検する
更新前に出所の不確かなプロジェクトを開いた覚えがある端末は、見覚えのないプロセスや設定変更、外部への不審な通信がないか確認します。
すぐ更新できないとき
すぐに更新できないときは、運用でのつなぎとして、信頼できない入手元のプロジェクトやcompile_commands.jsonのようなビルド設定ファイルをCLionで開かないようにします。Safe Modeで開いても、この脆弱性の防御にはなりません。
背景
CLionはJetBrainsのC/C++向け統合開発環境です。開発者はソースコードの解析や補完、デバッグ、ビルド設定の読み込みを、この1本でこなします。CMake以外のビルドシステムのプロジェクトでは、JSON compilation databaseから構成を取り込む使い方も広く知られています。
JetBrainsのIDEには、信頼していないプロジェクトを制限付きで開くSafe Modeがあります。外から受け取ったコードを、いきなり実行させないための仕組みです。今回の脆弱性は、その保護の内側で実行が起きるという点で、ふだんの運用の前提を崩します。「Safe Modeで開いているから大丈夫」という判断が通用しない版が、2026.2より前にあります。
よくある質問
Q.IntelliJ IDEAなど、ほかのJetBrains製品も影響を受けますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| JetBrains | CLion |
2026.2 未満 |
2026.2 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
In JetBrains CLion before 2026.2 code execution was possible in Safe Mode via JSON compilation database
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cve@jetbrains.com
- web nvd.nist.gov
- web jetbrains.com
- web github.com