Im Zentrum der Warnung steht eine Schwachstelle, die JetBrains als besonders kritisch einstuft. CVE-2026-63077 kann dem Hersteller zufolge über HTTP/S ausgenutzt werden, um die Authentifizierung zu umgehen und Remotecodeausführung zu erreichen. Als Angriffsweg nennt JetBrains ausdrücklich das TeamCity-Agent-Polling-Protokoll.

In seinem Sicherheitshinweis erklärt das Unternehmen, ein nicht authentifizierter Angreifer könne über dieses Protokoll Authentifizierungsprüfungen umgehen und anschließend beliebige Betriebssystembefehle mit den Rechten des TeamCity-Serverprozesses ausführen. Welche Folgen das im Einzelfall hat, hängt laut JetBrains von den auf dem System verfügbaren Berechtigungen ab.

So könne ein Angreifer auf TeamCity-Daten, Konfigurationen und Zugangsdaten zugreifen, den Zustand des Servers manipulieren und möglicherweise Build-Artefakte sowie nachgelagerte CI/CD-Pipelines kompromittieren. Diese Auswirkungen nennt JetBrains selbst in der Beschreibung der Schwachstelle.

Nach Angaben des Herstellers betrifft der Fehler sämtliche Versionen von TeamCity On-Premises. Für TeamCity Cloud seien bereits Gegenmaßnahmen umgesetzt worden. Zugleich betont JetBrains, es gebe derzeit keine Belege dafür, dass die Schwachstelle bereits aktiv ausgenutzt wurde.

Die eigentliche Fehlerbehebung ist laut JetBrains in TeamCity 2025.11.7 und 2026.1.3 enthalten. Zusätzlich hat das Unternehmen ein Security-Patch-Plugin für TeamCity-Versionen ab 2017.1 veröffentlicht. Dieses Plugin richtet sich an Kunden, die ihre Installation nicht kurzfristig auf eine der neuen Versionen anheben können. JetBrains weist allerdings darauf hin, dass das Plugin ausschließlich diese eine CVE behebt.

Nutzern rät JetBrains, entweder die aktuelle TeamCity-Version oder das Security-Patch-Plugin so schnell wie möglich zu installieren. Darüber hinaus empfiehlt das Unternehmen, den Zugriff auf aus dem Internet erreichbare TeamCity-Server zu begrenzen, alle Server nur mit den minimal erforderlichen Betriebssystemrechten zu betreiben und VPN-Verbindungen oder zusätzliche Schutzmaßnahmen einzusetzen, um unbefugten Zugriff zu verhindern.

Außerdem sollten TeamCity-Server laut JetBrains auf dedizierten Hosts laufen, die von den Build-Agenten getrennt sind. Auch diese Empfehlung nennt der Hersteller in seinem Hinweis zur Schwachstelle.