CISA hat CVE-2026-63077 in den Katalog der bekanntermaßen ausgenutzten Schwachstellen aufgenommen. Betroffen sind lokale, also selbst betriebene Versionen von JetBrains TeamCity. Die Behörde warnt vor aktiver Ausnutzung der Lücke in freier Wildbahn.

Technisch handelt es sich um eine Schwachstelle bei der Deserialisierung nicht vertrauenswürdiger Daten. Nach Darstellung von CISA kann sie eine nicht authentifizierte Remote-Code-Ausführung über das TeamCity-Agent-Polling-Protokoll ermöglichen. Ein Angreifer mit Zugriff auf einen TeamCity-Server könnte damit Authentifizierungsprüfungen umgehen und beliebige Betriebssystembefehle mit den Rechten des TeamCity-Serverprozesses ausführen.

JetBrains beschreibt die Ursache und den Angriffsweg ähnlich. Dem Hersteller zufolge kann ein nicht authentifizierter Angreifer die Schwachstelle über das Agent-Polling-Protokoll ausnutzen, um die Authentifizierung zu umgehen und beliebige Betriebssystemkommandos auszuführen. Die konkreten Auswirkungen hängen laut JetBrains davon ab, welche Rechte dem TeamCity-Serverprozess eingeräumt wurden.

Im Erfolgsfall kann ein Angriff nach Herstellerangaben TeamCity-Daten, Konfigurationen und gespeicherte Zugangsdaten offenlegen. Außerdem kann der Serverzustand verändert werden. JetBrains weist zudem darauf hin, dass auch die Integrität von Build-Artefakten und nachgelagerten CI/CD-Pipelines potenziell beeinträchtigt werden kann.

Offen ist derzeit, auf welche Weise die Schwachstelle in laufenden Angriffen tatsächlich ausgenutzt wird. Ebenso ist laut dem Bericht unbekannt, welche Akteure hinter den Angriffen stehen und wie groß deren Umfang ist. JetBrains hat seinen Sicherheitshinweis bislang noch nicht aktualisiert, um die aktive Ausnutzung ausdrücklich zu bestätigen.

Vor dem Hintergrund der neuen Entwicklung sollen Nutzer lokaler TeamCity-Installationen die bereitgestellten Updates so schnell wie möglich einspielen. Für Behörden der Federal Civilian Executive Branch gelten darüber hinaus verbindliche Fristen: Nach der Binding Operational Directive 26-04 müssen sie Schwachstellen mit hohem Risiko priorisiert beheben, wenn diese im KEV-Katalog aufgeführt sind.

Für CVE-2026-63077 nennt CISA als Frist für Patches oder alternative Gegenmaßnahmen den 8. August 2026.