JetBrains hat eine kritische Sicherheitslücke in seinem Build- und Deployment-Server TeamCity geschlossen. Die am 10. Juli gemeldete Schwachstelle ist als CVE-2026-63077 registriert, wird mit einem CVSS-Score von 9,8 von 10 bewertet und steckt im Agent-Polling-Protokoll von TeamCity. Betroffen sind alle On-Premises-Versionen des CI/CD-Servers; Cloud-Kunden müssen nicht handeln.

Gelingt die Ausnutzung, kann ein Angreifer sich an sämtlichen Authentifizierungsprüfungen der Software vorbeischleusen und danach beliebige Systembefehle auf dem betroffenen Server ausführen. Je nachdem, welche Rechte der Serverprozess besitzt, reicht die mögliche Folge von offengelegten TeamCity-Daten, Einstellungen und hinterlegten Zugangsdaten bis hin zu einer Manipulation des Serverzustands – im schlimmsten Fall steht damit die gesamte CI/CD-Pipeline offen. Laut JetBrains gab es zum Zeitpunkt der Veröffentlichung keine Hinweise auf eine aktive Ausnutzung.

Die abgesicherten Versionen sind TeamCity 2025.11.7 und 2026.1.3, die sich auch per automatischem Update einspielen lassen. Für ältere Installationen stellt JetBrains ein Sicherheitspatch-Plugin bereit, das mit Serverversionen ab 2017.1 funktioniert.

Als zusätzliche Schutzmaßnahme rät JetBrains dazu, On-Premises-Server nur aus vertrauenswürdigen Netzwerken erreichbar zu machen, ihnen möglichst wenige Betriebssystemrechte einzuräumen und sie auf eigenen Rechnern zu betreiben, die nicht gemeinsam mit den Build-Agenten genutzt werden. On-Premises-TeamCity-Server waren in der jüngeren Vergangenheit wiederholt Ziel von Angriffen, etwa über CVE-2024-23917 (CVSS 9,8) und CVE-2024-27199 (CVSS 7,3).