CISA uppger att ransomware-grupper utnyttjar en kritisk sårbarhet i JetBrains TeamCity. Myndigheten har nu markerat sårbarheten som använd i ransomware-kampanjer efter att ha lagt till den på sin lista över kända utnyttjade sårbarheter i augusti.
Autentiseringsförbikoppling ger angripare serveråtkomst
Sårbarheten, CVE-2026-63077, påverkar TeamCity On-Premises. JetBrains släppte korrigeringar den 25 juli 2026 i versionerna 2025.11.7 och 2026.1.3.
En angripare som kan nå en sårbar TeamCity-server via HTTP eller HTTPS behöver inte logga in. Genom att utnyttja en svaghet i agentens pollingprotokoll kan angriparen köra operativsystemkommandon med samma behörigheter som TeamCity-serverprocessen.
Konsekvenserna beror på dessa behörigheter. En angripare kan få åtkomst till lagrade inloggningsuppgifter och konfigurationsdata, ändra serverinställningar eller störa byggartefakter och pipelines för programvaruleverans.
CISA lägger till ransomware-varning
CISA lade till CVE-2026-63077 i sin katalog över kända utnyttjade sårbarheter den 5 augusti. Myndigheten uppmanade amerikanska federala myndigheter att åtgärda sårbarheten inom tre dagar.
JetBrains bekräftade aktivt utnyttjande den 7 augusti och publicerade indikatorer på intrång. Företaget uppmanade också kunder som inte kunde uppdatera omedelbart att begränsa serveråtkomsten till betrodda nätverk.
CISA uppdaterade senare katalogposten för att markera sårbarheten som känd för att användas i ransomware-kampanjer. Myndigheten har inte offentligt beskrivit attackerna bakom denna klassificering eller identifierat de inblandade grupperna.
Uppdateringen gör TeamCity ransomware-attacker till ett problem för organisationer som fortfarande kör sårbara servrar.
Exponerade servrar är fortfarande sårbara
Shadowserver spårade drygt 160 internetexponerade TeamCity-servrar som fortfarande inte hade korrigerats mot CVE-2026-63077. Den siffran hade sjunkit från omkring 700 sårbara servrar som identifierades kort efter att JetBrains släppte korrigeringen.
Sedan oktober 2023 har CISA listat fyra TeamCity-sårbarheter som utnyttjade i det vilda. Myndigheten har också markerat samtliga fyra som använda i ransomware-kampanjer.
Administratörer bör uppdatera TeamCity
TeamCity hjälper utvecklingsteam att bygga, testa och distribuera programvara. En komprometterad server kan därför utsätta lagrade hemligheter och anslutna leveranssystem för risk.
Administratörer bör uppdatera berörda installationer till en korrigerad version, särskilt om servern är tillgänglig från internet. Om de inte kan installera korrigeringen omedelbart rekommenderar JetBrains att åtkomsten begränsas till betrodda nätverk.
0 svar till ”CISA kopplar kritisk TeamCity-sårbarhet till ransomware-attacker”