Serwery CI/CD, na których firmy budują i wdrażają swoje oprogramowanie, stały się jednym z ulubionych celów napastników. Tym razem na celowniku jest JetBrains TeamCity On-Premises. Luka oznaczona jako CVE-2026-63077 (CVSS 9.8) pozwala zdalnemu, nieuwierzytelnionemu atakującemu obejść uwierzytelnianie i wykonać dowolne polecenia systemu operacyjnego na serwerze. Błąd potwierdzono pod koniec lipca, ostrzeżenia wydały m.in. australijskie służby, a pod koniec września pojawiły się doniesienia, że wykorzystują go grupy ransomware.
Na czym polega problem
Podatność dotyczy sposobu, w jaki serwer obsługuje protokół komunikacji z agentami budującymi. Atakujący wysyła spreparowane żądania HTTP(S), omija sprawdzanie uprawnień i doprowadza do wykonania własnego kodu. Nie potrzebuje konta ani hasła, wystarczy dostęp sieciowy do panelu TeamCity. Dostępny jest publiczny kod dowodowy (PoC), a CISA dodała lukę do katalogu aktywnie wykorzystywanych podatności KEV, co oznacza, że ataki nie są teoretyczne.
Podatne są wersje starsze niż 2026.1.3 oraz 2025.11.7.
Dlaczego serwer CI/CD to tak łakomy kąsek
TeamCity przechowuje konfiguracje projektów, tokeny dostępowe, klucze do repozytoriów, chmury i serwerów produkcyjnych. Przejęcie takiej maszyny daje napastnikowi znacznie więcej niż jeden serwer. Może on podmienić artefakty budowania, czyli wstrzyknąć złośliwy kod do oprogramowania, które firma wyśle klientom (klasyczny atak na łańcuch dostaw), wykraść sekrety i przejść dalej do sieci wewnętrznej. Ransomware wykorzystuje to samo: po wejściu przez TeamCity instaluje narzędzia do utrzymania dostępu i szyfruje kolejne systemy.
Nie jest to zresztą pierwszy taki przypadek. TeamCity miało już w przeszłości głośne luki, które po ujawnieniu bardzo szybko trafiały do arsenału przestępców.
Co zrobić
Jeśli używasz TeamCity On-Premises, zaktualizuj je do wersji 2026.1.3 lub 2025.11.7. Dla starszych wydań (od 2024.12.x wstecz) JetBrains udostępnia oficjalną łatkę w postaci wtyczki. Nie wystawiaj panelu CI/CD bezpośrednio do internetu, ogranicz dostęp do VPN lub listy zaufanych adresów IP. Jeśli serwer był publicznie dostępny i niezałatany, potraktuj go jak potencjalnie przejęty: przejrzyj logi, sprawdź nowe konta i zadania, a następnie zrotuj wszystkie tokeny, hasła i klucze, które w nim zapisano. Sprawdź też integralność ostatnich buildów.
Podsumowanie
CVE-2026-63077 to kolejny dowód, że narzędzia deweloperskie muszą być chronione tak samo starannie jak serwery produkcyjne. Błąd bez wymogu logowania, publiczny exploit i zainteresowanie gangów ransomware to przepis na szybkie i masowe ataki. Dotyczy to także małych firm i agencji, które mają „własny” serwer budowania stojący gdzieś w sieci. Aktualizacja zajmuje kilkanaście minut, odbudowa po ataku trwa tygodnie.
źródło: https://www.runzero.com/blog/jetbrains-teamcity/ https://www.itnews.com.au/news/asd-warns-australian-teamcity-servers-under-attack-628400