JetBrainsのクラウド開発サービス「Cadence」に不正アクセス。開発者が今すぐ確認すべきこと

📖 推定読了時間：約7分

PyCharmなどJetBrains製品を日常的に使っている開発者にとって、見過ごせないニュースが2026年8月末に飛び込んできました。同社のクラウド開発サービス「Cadence」が不正アクセスを受け、ユーザー情報や過去のバックアップデータが窃取されたことが公式に発表されたのです。「修正パッチはすでに公開されていた」という経緯を知ると、他人事とは思えなくなる開発者も多いはずです。この記事では、何が起きたのか、そして利用者が今すぐ取るべき対応を整理します。

「修正パッチはあったのに」という、もどかしい経緯

今回の一件で特に注目したいのは、原因となった脆弱性「CVE-2026-63077」（深刻度を示すCVSSスコアは10点満点中9.8）が、実は2026年7月の時点でJetBrainsからすでに修正パッチが公開されていたという点です。対策がすでに存在していたにもかかわらず、社内のあるサーバーだけ適用が漏れていたことが、今回の侵害を許すきっかけになりました。

実は2週間以上、気づかれないまま進行していた

JetBrainsの公式発表によると、攻撃者は2026年8月8日からこの脆弱性を悪用してCadence環境への不正アクセスを開始し、同社が異常に気づいたのは8月23日、該当サーバーを停止したのは8月24日でした。実に2週間以上、攻撃が検知されないまま進行していたことになります。

調査の結果、攻撃者はユーザー名、氏名、メールアドレス、最終ログイン日時、最終アクセスIPアドレスといった個人情報を窃取したことが確認されています。さらに深刻なのが、2024年時点のCadenceサーバーの完全バックアップも侵害されたという点です。このバックアップには、AWSの認証情報（IAM）や設定データが含まれていた可能性が指摘されています。

Cadenceを使っている人が、今すぐ確認すべきこと

JetBrainsは、Cadenceの実行時に使用していた認証情報やシークレットについて、速やかにローテーション（無効化・再発行）することを利用者に呼びかけています。あわせて、PyCharmのCadenceプラグインで使われていたアクセストークンも無効化されており、対象ユーザーは新しいトークンでの再接続が必要になります。過去にCadence上で実行した処理の入力・出力データについても、念のため「信頼できないもの」として扱うことが推奨されています。

• ⚠️Cadenceの実行に使った認証情報・シークレットは速やかにローテーションを
• ⚠️TeamCity On-Premisesを自社運用している場合は、パッチ適用状況を今すぐ再確認
• ✅JetBrainsは現在の環境からのデータ・シークレット流出は確認されていないと説明

自分の開発環境を見直すきっかけに

今回の一件は、CI/CDツールのような「裏方」のインフラであっても、パッチ管理を徹底しなければ大きな被害につながりうることを改めて示しました。自分のプロジェクトのバージョン管理や認証情報の扱いを見直したい人は、GitHub・Gitの実践入門書籍で基本的な運用ルールをおさらいしておくと、こうしたインシデントへの理解も深まります。

複数の開発ツールやCI/CD環境を並行して使うことが多いエンジニアにとって、快適な作業環境は生産性にも直結します。処理能力に余裕のあるエンジニア向けノートPCを検討する際は、あわせてバックアップ体制も見直しておきたいところです。重要なソースコードや設定ファイルは、クラウドだけに頼らず外付けSSDにも定期的に退避しておくと、万が一の際の安心感が違います。

まとめ

JetBrains Cadenceへの不正アクセスは、修正パッチが存在していたにもかかわらず適用漏れが原因で発生したという、多くの開発現場にとって他人事ではない教訓を含んでいます。Cadenceを利用していた人は、案内に従って認証情報のローテーションを速やかに行うとともに、この機会に自社のパッチ管理体制を見直しておくことをおすすめします。今後の調査状況についても、JetBrains公式のセキュリティ情報を注視しておくとよいでしょう。

※本記事の情報は2026年9月1日時点のものです。最新の対応状況や詳細は、JetBrains公式のセキュリティ情報をご確認ください。