JetBrains warnt vor kritischer TeamCity-Schwachstelle, die Remote-Codeausführung ermöglicht

JetBrains hat vor einer kritischen TeamCity-Schwachstelle gewarnt, die Remote-Codeausführung ermöglicht und alle Versionen von TeamCity On-Premises betrifft.

Die als CVE-2026-63077 verfolgte Schwachstelle ermöglicht es einem Angreifer mit HTTPS-Zugriff auf einen anfälligen TeamCity-Server, die Authentifizierung zu umgehen und Betriebssystembefehle mit den Berechtigungen des Serverprozesses auszuführen.

JetBrains hat korrigierte Versionen veröffentlicht und Administratoren dazu aufgefordert, ihre Systeme so schnell wie möglich zu aktualisieren.

Umgehung der Authentifizierung kann zu Codeausführung führen

CVE-2026-63077 betrifft das Agent-Polling-Protokoll in TeamCity On-Premises. Ein Angreifer könnte die Schwachstelle ausnutzen, um die Authentifizierung zu umgehen und beliebige Befehle auf dem Server auszuführen.

TeamCity ist eine Plattform für Continuous Integration und Continuous Delivery, die zum Erstellen, Testen und Bereitstellen von Software verwendet wird. Eine erfolgreiche Kompromittierung könnte daher sensible Entwicklungsinfrastrukturen gefährden.

Abhängig von den Berechtigungen des betroffenen Kontos und Servers könnten Angreifer Zugriff auf TeamCity-Daten, Konfigurationen und gespeicherte Zugangsdaten erhalten. Sie könnten außerdem Build-Artefakte oder CI/CD-Pipelines kompromittieren.

JetBrains erklärte, dass Kunden von TeamCity Cloud keine Maßnahmen ergreifen müssen, da die erforderlichen Schutzmaßnahmen bereits implementiert wurden.

Keine aktive Ausnutzung gemeldet

Die Schwachstelle wurde JetBrains am 10. Juli vertraulich gemeldet. Als das Unternehmen am 27. Juli seinen Sicherheitshinweis veröffentlichte, lagen nach eigenen Angaben keine Hinweise auf eine aktive Ausnutzung vor.

TeamCity-Server waren in der Vergangenheit jedoch wiederholt Ziel von Angriffen. Ransomware-Gruppen und staatlich unterstützte Bedrohungsakteure haben frühere TeamCity-Schwachstellen ausgenutzt, um sich Zugang zu Unternehmensnetzwerken zu verschaffen.

Diese Vorgeschichte macht schnelle Sicherheitsupdates besonders wichtig für Organisationen, deren TeamCity-Instanzen über das Internet erreichbar sind.

TeamCity aktualisieren oder Sicherheits-Plugin installieren

JetBrains hat die Schwachstelle in den TeamCity-Versionen 2025.11.7 und 2026.1.3 behoben. Ein Upgrade auf eine dieser Versionen ist die empfohlene Lösung.

Kunden, die kein Upgrade durchführen können, haben alternativ die Möglichkeit, ein Sicherheits-Patch-Plugin zu installieren. Das Plugin steht für TeamCity 2017.1 und neuere Versionen zur Verfügung.

TeamCity 2024.03 und neuere Versionen laden verfügbare Sicherheits-Patch-Plugins automatisch herunter. Administratoren erhalten anschließend eine Benachrichtigung, um das Update zu installieren.

Server mit TeamCity 2017.1 bis einschließlich 2018.1 müssen nach der Installation des Sicherheits-Plugins neu gestartet werden, damit die Korrektur wirksam wird.

Über das Internet erreichbare TeamCity-Server schützen

JetBrains empfiehlt Administratoren außerdem, den Zugriff auf TeamCity-Server einzuschränken. Ein VPN oder eine andere zusätzliche Schutzebene kann die Angriffsfläche von Systemen reduzieren, die über das Internet erreichbar sind.

Das Unternehmen weist darauf hin, dass eine öffentlich erreichbare TeamCity-Anmeldeseite oder REST-API Angreifern einen Einstiegspunkt bieten kann, sobald eine neue Schwachstelle bekannt wird.

Administratoren sollten betroffene Server unverzüglich aktualisieren, überprüfen, wer Zugriff auf die Plattform hat, und vermeiden, TeamCity-Verwaltungsdienste direkt über das Internet zugänglich zu machen.