CISA sier at ransomware-grupper utnytter en kritisk sårbarhet i JetBrains TeamCity. Byrået har nå markert sårbarheten som brukt i ransomware-kampanjer, etter å ha lagt den til på listen over kjente utnyttede sårbarheter i august.
Omgåelse av autentisering gir angripere servertilgang
Sårbarheten, CVE-2026-63077, påvirker TeamCity On-Premises. JetBrains lanserte rettelser 25. juli 2026 i versjonene 2025.11.7 og 2026.1.3.
En angriper som kan nå en sårbar TeamCity-server via HTTP eller HTTPS, trenger ikke å logge inn. Ved å utnytte en svakhet i agentens pollingprotokoll kan angriperen kjøre operativsystemkommandoer med rettighetene til TeamCity-serverprosessen.
Konsekvensene avhenger av disse rettighetene. En angriper kan få tilgang til lagret påloggingsinformasjon og konfigurasjonsdata, endre serverinnstillinger eller forstyrre byggeartefakter og programvareleveringsprosesser.
CISA legger til ransomware-advarsel
CISA la til CVE-2026-63077 i katalogen over kjente utnyttede sårbarheter 5. august. Byrået påla amerikanske føderale etater å håndtere sårbarheten innen tre dager.
JetBrains bekreftet aktiv utnyttelse 7. august og publiserte indikatorer på kompromittering. Selskapet oppfordret også kunder som ikke kunne oppdatere umiddelbart, til å begrense servertilgangen til pålitelige nettverk.
CISA oppdaterte senere katalogoppføringen for å markere sårbarheten som kjent brukt i ransomware-kampanjer. Byrået har ikke offentlig beskrevet angrepene bak denne klassifiseringen eller identifisert gruppene som er involvert.
Oppdateringen gjør TeamCity ransomware-angrep til en bekymring for organisasjoner som fortsatt kjører sårbare servere.
Eksponerte servere er fortsatt sårbare
Shadowserver sporet litt over 160 internetteksponerte TeamCity-servere som fortsatt ikke var oppdatert mot CVE-2026-63077. Dette tallet hadde falt fra rundt 700 sårbare servere som ble identifisert kort tid etter at JetBrains lanserte rettelsen.
Siden oktober 2023 har CISA oppført fire TeamCity-sårbarheter som utnyttet i det fri. Byrået har også markert alle fire som brukt i ransomware-kampanjer.
Administratorer bør oppdatere TeamCity
TeamCity hjelper utviklingsteam med å bygge, teste og distribuere programvare. En kompromittert server kan derfor sette lagrede hemmeligheter og tilkoblede leveringssystemer i fare.
Administratorer bør oppdatere berørte installasjoner til en rettet versjon, spesielt hvis serveren er tilgjengelig fra internett. Hvis de ikke kan installere oppdateringen umiddelbart, anbefaler JetBrains å begrense tilgangen til pålitelige nettverk.
0 responses to “CISA knytter kritisk TeamCity-sårbarhet til ransomware-angrep”