Im Kern handelt es sich bei CVE-2026-63077 um eine nicht authentifizierte Remote-Codeausführung. JetBrains zufolge lässt sich über das Agent-Polling-Protokoll die Authentifizierung umgehen, um anschließend Befehle auf Betriebssystemebene auszuführen. Welche Folgen eine erfolgreiche Kompromittierung hat, hängt laut Hersteller von den Rechten ab, die dem TeamCity-Serverprozess eingeräumt sind.
JetBrains nennt dabei mehrere mögliche Auswirkungen: die Offenlegung von TeamCity-Daten, Konfigurationen und gespeicherten Zugangsdaten sowie Änderungen am Serverzustand. Die Schwachstelle betrifft nach Angaben des Unternehmens sämtliche On-Premises-Versionen von TeamCity. Für TeamCity Cloud seien die Instanzen bereits abgesichert worden.
Zur Behebung hat JetBrains die Versionen 2025.11.7 und 2026.1.3 veröffentlicht. Zusätzlich gibt es ein Security-Patch-Plugin für Versionen ab 2017.1, damit Kunden ihre Umgebungen auch dann absichern können, wenn sie ein vollständiges Upgrade vorerst nicht einspielen können.
Dabei schränkt JetBrains ausdrücklich ein, dass dieses Plugin nur die hier beschriebene Schwachstelle CVE-2026-63077 behebt. Der Hersteller empfiehlt weiterhin, den Server auf die aktuelle Version anzuheben, um auch von weiteren Sicherheitsupdates zu profitieren.
Nach Angaben von JetBrains gibt es derzeit keine Hinweise darauf, dass die Schwachstelle bereits aktiv ausgenutzt wurde. Unabhängig davon rät das Unternehmen Betreibern dazu, für internetseitig erreichbare TeamCity-Server zusätzliche Schutzmaßnahmen zu erwägen, etwa die Pflicht zur Nutzung von VPN-Verbindungen oder eine weitere Sicherheitsschicht gegen unbefugten Zugriff.
JetBrains warnt außerdem davor, TeamCity unnötig offen ins Internet zu stellen. Schon die bloße Erreichbarkeit der TeamCity-Anmeldeseite oder der REST-API könne Angreifern potenzielle Einstiegspunkte liefern, um neu veröffentlichte Schwachstellen auszunutzen.