Nach Angaben von JetBrains steckt hinter CVE-2026-63077 eine Schwachstelle zur Umgehung der Authentifizierung in TeamCity On-Premises. Angreifer mit HTTPS-Zugriff auf einen TeamCity-Server können sie über das Agent-Polling-Protokoll ausnutzen, um beliebige Betriebssystembefehle mit den Rechten des Serverprozesses auszuführen.
Der Hersteller betont, dass alle Versionen von TeamCity On-Premises betroffen sind. Für Kunden von TeamCity Cloud bestehe dagegen kein Handlungsbedarf, da die erforderlichen Maßnahmen dort bereits angewendet worden seien.
Daniel Gallo, Solutions Engineering Lead bei JetBrains, zufolge kann eine erfolgreiche Ausnutzung von CVE-2026-63077 je nach Berechtigungen TeamCity-Daten, Konfigurationen und gespeicherte Zugangsdaten offenlegen oder Build-Artefakte und CI/CD-Pipelines kompromittieren. TeamCity wird als kommerzieller Server für Continuous Integration und Continuous Delivery genutzt, also für Build-, Test- und Deployment-Prozesse von Software.
JetBrains erklärte, die Lücke sei dem Unternehmen am 10. Juli vertraulich gemeldet worden. Behoben wurde sie in den TeamCity-Versionen 2025.11.7 und 2026.1.3. Der Hersteller empfiehlt ein Upgrade auf diese Versionen als bevorzugte Maßnahme.
Für Kunden, die nicht auf die aktuellen Versionen wechseln können, steht ein Sicherheits-Patch für TeamCity 2017.1 und neuer in Form eines Plugins bereit. JetBrains weist darauf hin, dass TeamCity 2024.03 und neuere Versionen verfügbare Sicherheits-Patch-Plugins automatisch herunterladen und Administratoren benachrichtigen, damit sie diese installieren können.
Bei TeamCity-Versionen von 2017.1 bis 2018.1 ist nach der Installation des Patch-Plugins zusätzlich ein Neustart des Servers erforderlich, damit die Sicherheitsaktualisierung wirksam wird. Detaillierte Anweisungen zur Installation des Sicherheits-Plugins hat JetBrains ebenfalls bereitgestellt.
Darüber hinaus verweist der Hersteller auf allgemeinere Schutzmaßnahmen. Dazu zählt, für aus dem Internet erreichbare TeamCity-Server einen VPN-Zugang oder andere zusätzliche Schutzschichten vorzuschalten. JetBrains erinnert außerdem daran, dass bereits eine öffentlich erreichbare Anmeldeseite oder REST-API Angreifern einen Einstiegspunkt zur Ausnutzung neu bekannt gewordener Schwachstellen liefern kann.
Zum Zeitpunkt der Veröffentlichung des Hinweises am 27. Juli gab es laut JetBrains keine Belege für eine aktive Ausnutzung. Der Hersteller verweist jedoch darauf, dass Schwachstellen in TeamCity in der Vergangenheit bereits umfassend ausgenutzt wurden, auch durch Ransomware-Gruppen und staatlich unterstützte Akteure.