CISA siger, at ransomware-grupper udnytter en kritisk sårbarhed i JetBrains TeamCity. Agenturet har nu markeret sårbarheden som anvendt i ransomware-kampagner, efter at det føjede den til sin liste over kendte udnyttede sårbarheder i august.
Omgåelse af autentificering giver angribere serveradgang
Sårbarheden, CVE-2026-63077, påvirker TeamCity On-Premises. JetBrains udgav rettelser den 25. juli 2026 i versionerne 2025.11.7 og 2026.1.3.
En angriber, der kan nå en sårbar TeamCity-server via HTTP eller HTTPS, behøver ikke at logge ind. Ved at udnytte en svaghed i agentens pollingprotokol kan angriberen køre operativsystemkommandoer med TeamCity-serverprocessens rettigheder.
Konsekvenserne afhænger af disse rettigheder. En angriber kan få adgang til gemte loginoplysninger og konfigurationsdata, ændre serverindstillinger eller forstyrre build-artefakter og pipelines til softwarelevering.
CISA tilføjer ransomware-advarsel
CISA føjede CVE-2026-63077 til sit katalog over kendte udnyttede sårbarheder den 5. august. Agenturet pålagde amerikanske føderale myndigheder at håndtere sårbarheden inden for tre dage.
JetBrains bekræftede aktiv udnyttelse den 7. august og offentliggjorde indikatorer på kompromittering. Virksomheden opfordrede også kunder, der ikke kunne opdatere med det samme, til at begrænse serveradgangen til betroede netværk.
CISA opdaterede senere katalogposten for at markere sårbarheden som kendt for at blive brugt i ransomware-kampagner. Agenturet har ikke offentligt beskrevet angrebene bag denne klassificering eller identificeret de involverede grupper.
Opdateringen gør TeamCity ransomware-angreb til en bekymring for organisationer, der stadig kører sårbare servere.
Eksponerede servere er fortsat sårbare
Shadowserver sporede lidt over 160 interneteksponerede TeamCity-servere, der stadig ikke var blevet opdateret mod CVE-2026-63077. Dette tal var faldet fra omkring 700 sårbare servere, som blev identificeret kort efter, at JetBrains udgav rettelsen.
Siden oktober 2023 har CISA opført fire TeamCity-sårbarheder som udnyttet i det fri. Agenturet har også markeret alle fire som anvendt i ransomware-kampagner.
Administratorer bør opdatere TeamCity
TeamCity hjælper udviklingsteams med at bygge, teste og implementere software. En kompromitteret server kan derfor bringe gemte hemmeligheder og tilsluttede leveringssystemer i fare.
Administratorer bør opdatere berørte installationer til en rettet version, især hvis serveren er tilgængelig fra internettet. Hvis de ikke kan installere opdateringen med det samme, anbefaler JetBrains at begrænse adgangen til betroede netværk.
0 svar til “CISA forbinder kritisk TeamCity-sårbarhed med ransomware-angreb”