JetBrains TeamCity: подтверждена эксплуатация CVE-2026-63077, выпущены патчи

Активная эксплуатация CVE-2026-63077 подтверждена

С момента предыдущего объявления от 27 июля 2026 года поступили сообщения об активной эксплуатации уязвимости CVE-2026-63077, а также о попытках эксплуатации серверов TeamCity, не имеющих актуальных исправлений. Уязвимость позволяет удаленному неаутентифицированному злоумышленнику с HTTP(S)-доступом к серверу TeamCity выполнить произвольные команды операционной системы с привилегиями процесса сервера TeamCity. Успешная эксплуатация может привести к раскрытию данных, конфигураций и учетных данных TeamCity, изменению состояния сервера, а также к компрометации артефактов сборки и конвейеров CI/CD.

TeamCity распределяет задачи сборки и тестирования

TeamCity — это система непрерывной интеграции и непрерывной поставки, разработанная JetBrains. Она используется для автоматизации процессов сборки, тестирования и развертывания программного обеспечения. Продукт позволяет командам разработчиков управлять полным циклом разработки, обеспечивая качество и скорость выпуска новых версий приложений. TeamCity доступен как в облачной версии (TeamCity Cloud), так и для локального развертывания.

Обновиться до 2025.11.7 или 2026.1.3, либо установить плагин безопасности

Уязвимость CVE-2026-63077 исправлена в версиях TeamCity 2025.11.7 и 2026.1.3. Пользователям локальных установок TeamCity рекомендуется обновиться до одной из этих версий. Для тех, кто не может обновиться немедленно, доступен плагин безопасности для версий TeamCity 2017.1 и новее. Пользователи TeamCity Cloud не требуют никаких действий, так как необходимые меры защиты уже применены. Для полного списка инструкций по обновлению и устранению уязвимости следует обратиться к первоначальному объявлению. Плагин безопасности устраняет только CVE-2026-63077; для получения других обновлений безопасности рекомендуется обновить сервер до последней версии.

Проверить логи и ограничить доступ

Администраторам рекомендуется проверить журналы сервера TeamCity на наличие сообщений com.thoughtworks.xstream.converters.ConversionException, которые могут указывать на попытку или успешную эксплуатацию. Сообщение com.thoughtworks.xstream.security.ForbiddenClassException может свидетельствовать о попытке эксплуатации после установки патча или обновления. Также следует проверить список неавторизованных сборок на наличие неожиданных агентов, особенно с именами, начинающимися на scan. Эти агенты могут быть безопасно удалены. При временно недоступном обновлении серверов TeamCity, публично доступных в интернете, рекомендуется временно ограничить внешний доступ. В качестве долгосрочной практики безопасности следует ограничить сетевой доступ к серверам TeamCity доверенными сетями, запускать сервер с минимально необходимыми привилегиями и рассмотреть возможность использования VPN или дополнительного уровня безопасности для интернет-серверов. Серверы TeamCity должны работать на выделенных хостах, отдельно от сборочных агентов.

Источник: JetBrains