JetBrains は2026年11月6日、大規模なセキュリティ更新を公開しました。SecurityOnline によると9製品で計61件の CVE（緊急2件、高20件、中26件、低13件）が修正されています。対象は IntelliJ IDEA、WebStorm、CLion、Hub、YouTrack、Datalore、Ktor、Junie CLI、Toolbox App です。現時点で実際の悪用や公開エクスプロイトは報告されていません。
緊急の2件はサーバー製品です。CVE-2026-123294（CVSS 9.6）は、セルフホスト版 YouTrack などの認証・ユーザー管理を担う JetBrains Hub の脆弱性で、ログイン済みのユーザー（低権限でも可）がメール認証の過程でメール情報を変更することで権限を昇格できました。Hub 2026.2.52556 で修正されています。CVE-2026-123279（CVSS 9.0）は、データ分析向けノートブック基盤 Datalore で閲覧権限しかない共同作業者がノートブックの計算処理内でコードを実行できた問題で、Datalore 2026.4 で修正されました。ほかに Datalore では未認証ユーザーが公開レポート経由でコードを実行できた CVE-2026-123280（CVSS 8.1）、Hub では必須の二要素認証をユーザーが無効化できた CVE-2026-123295（CVSS 8.1）も修正されています。
IDE を使う開発者向け：IntelliJ IDEA には15件の修正があります。CVE レコードによると、CVE-2026-123302（CVSS 7.8）はスクリプトエンジンの検出処理を通じて信頼できないプロジェクトでコードが実行されうる問題で、2026.3、2026.2.4、2026.1.5.1、2025.3.6.2 より前のバージョンが影響を受けます。OpenAPI 処理のクロスサイトスクリプティング（CVE-2026-123301、CVSS 8.2）や、ShellCheck・Terraform のパスに関する問題も修正されました。CLion（GDB プロファイルの処理）、WebStorm、コーディングエージェントの Junie CLI（コマンド実行の問題、26.8.24 で修正）も対象です。
その他：YouTrack には15件の修正があり、URL の検証が不十分なためアプリがユーザーの同意なく REST リクエストを送れた CVE-2026-123323（CVSS 8.4）が含まれます。Web フレームワーク Ktor は改ざんされた Cookie によるセッション偽造（CVE-2026-123317、CVSS 8.1）を 3.6.1 で修正しました。なお SecurityOnline は YouTrack の修正版を本文で 2026.2.19728、表では CVE-2026-123323 について 2026.2.19656 としており、正確なビルドは JetBrains の修正済み問題一覧で確認してください。
