CISA bringt kritische TeamCity-Sicherheitslücke mit Ransomware-Angriffen in Verbindung

CISA zufolge nutzen Ransomware-Gruppen eine kritische Sicherheitslücke in JetBrains TeamCity aus. Die Behörde hat die Schwachstelle nun als in Ransomware-Kampagnen eingesetzt eingestuft, nachdem sie diese im August in ihre Liste der bekannten ausgenutzten Schwachstellen aufgenommen hatte.

Umgehung der Authentifizierung ermöglicht Serverzugriff

Die Sicherheitslücke CVE-2026-63077 betrifft TeamCity On-Premises. JetBrains veröffentlichte am 25. Juli 2026 Korrekturen in den Versionen 2025.11.7 und 2026.1.3.

Ein Angreifer, der einen anfälligen TeamCity-Server über HTTP oder HTTPS erreichen kann, muss sich nicht anmelden. Durch die Ausnutzung einer Schwachstelle im Agent-Polling-Protokoll kann der Angreifer Betriebssystembefehle mit den Berechtigungen des TeamCity-Serverprozesses ausführen.

Die Auswirkungen hängen von diesen Berechtigungen ab. Ein Angreifer könnte auf gespeicherte Zugangsdaten und Konfigurationsdaten zugreifen, Servereinstellungen ändern oder Build-Artefakte und Softwarebereitstellungspipelines beeinträchtigen.

CISA fügt Ransomware-Warnung hinzu

CISA nahm CVE-2026-63077 am 5. August in seinen Katalog der bekannten ausgenutzten Schwachstellen auf. Die Behörde wies US-Bundesbehörden an, die Sicherheitslücke innerhalb von drei Tagen zu beheben.

JetBrains bestätigte am 7. August die aktive Ausnutzung und veröffentlichte Indikatoren für eine Kompromittierung. Das Unternehmen forderte außerdem Kunden, die nicht sofort aktualisieren konnten, dazu auf, den Serverzugriff auf vertrauenswürdige Netzwerke zu beschränken.

CISA aktualisierte später den Katalogeintrag und kennzeichnete die Schwachstelle als bekanntermaßen in Ransomware-Kampagnen eingesetzt. Die Behörde hat die Angriffe hinter dieser Einstufung nicht öffentlich beschrieben und auch die beteiligten Gruppen nicht identifiziert.

Durch die Aktualisierung werden TeamCity-Ransomware-Angriffe zu einem Problem für Organisationen, die weiterhin anfällige Server betreiben.

Exponierte Server bleiben anfällig

Shadowserver verfolgte etwas mehr als 160 mit dem Internet verbundene TeamCity-Server, die weiterhin nicht gegen CVE-2026-63077 gepatcht waren. Diese Zahl war von rund 700 anfälligen Servern gesunken, die kurz nach der Veröffentlichung des Fixes durch JetBrains identifiziert worden waren.

Seit Oktober 2023 hat CISA vier TeamCity-Schwachstellen als aktiv ausgenutzt aufgeführt. Die Behörde hat zudem alle vier als in Ransomware-Kampagnen eingesetzt gekennzeichnet.

Administratoren sollten TeamCity aktualisieren

TeamCity hilft Entwicklungsteams dabei, Software zu erstellen, zu testen und bereitzustellen. Ein kompromittierter Server könnte daher gespeicherte Geheimnisse und verbundene Bereitstellungssysteme gefährden.

Administratoren sollten betroffene Installationen auf eine korrigierte Version aktualisieren, insbesondere wenn der Server über das Internet erreichbar ist. Falls sie den Patch nicht sofort installieren können, empfiehlt JetBrains, den Zugriff auf vertrauenswürdige Netzwerke zu beschränken.