CVE-2026-63077 ist eine kritische Schwachstelle in JetBrains TeamCity, die laut Hersteller auf der Deserialisierung nicht vertrauenswürdiger Daten beruht. Der Fehler ermöglicht nicht authentifizierten Angreifern die Ausführung von Code aus der Ferne über HTTP/S-Anfragen. JetBrains bezifferte die Schwere mit einem CVSS-Wert von 9,8.
Betroffen sind nach Angaben des Herstellers alle TeamCity-On-Premises-Versionen. JetBrains warnte, dass Angreifer damit „Authentifizierungsprüfungen umgehen und beliebige Betriebssystembefehle mit den Rechten des TeamCity-Serverprozesses ausführen“ können. Ausgenutzt werden könne die Schwachstelle über das Polling-Protokoll der TeamCity-Agenten.
Patches stellt JetBrains in den Versionen 2025.11.7 und 2026.1.3 bereit. Zusätzlich veröffentlichte das Unternehmen ein Sicherheits-Patch-Plugin für Version 2017.1 und neuer. JetBrains forderte Unternehmen auf, die Aktualisierungen für ihre TeamCity-On-Premises-Installationen so schnell wie möglich einzuspielen.
In seiner ursprünglichen Sicherheitsmitteilung hatte JetBrains erklärt, die Schwachstelle sei vertraulich gemeldet worden. Zugleich teilte das Unternehmen damals mit, es gebe nach eigenem Kenntnisstand keine aktive Ausnutzung.
Diese Einschätzung hat sich inzwischen geändert: CISA warnte, dass Bedrohungsakteure die Lücke bereits ausnutzen. Am Mittwoch, etwa eine Woche nach der öffentlichen Offenlegung, nahm die US-Behörde CVE-2026-63077 in ihren Katalog der „Known Exploited Vulnerabilities“ auf. Für Bundesbehörden gilt damit die Aufforderung, den Fehler innerhalb von drei Tagen zu beheben, wie es die Vorgabe BOD 26-04 verlangt.
Öffentlich zugängliche Informationen zu den konkreten Angriffen gibt es derzeit offenbar nicht. Der vorliegende Stand beschränkt sich auf die Warnung von CISA, dass die Schwachstelle bereits aktiv ausgenutzt wird, sowie auf die technischen Angaben und Updates von JetBrains.