Als Einfallstor diente CVE-2026-63077, eine mit einem CVSS-Wert von 9.8 bewertete Schwachstelle in TeamCity. Die Lücke beruht auf der Deserialisierung nicht vertrauenswürdiger Daten und erlaubt einem nicht authentifizierten Angreifer mit Zugriff auf einen TeamCity-Server, die Authentifizierungsprüfungen zu umgehen und beliebige Betriebssystembefehle mit den Rechten des TeamCity-Server-Prozesses auszuführen.
Die Schwachstelle wird inzwischen aktiv ausgenutzt. Die US-Cybersicherheitsbehörde CISA nahm sie am 5. August 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf. JetBrains selbst entdeckte die Ausnutzung in der eigenen Umgebung am 23. August 2026.
In nachgereichten Aktualisierungen teilte das Unternehmen mit, dass der Angreifer auf Daten aus einem Cadence-Server-Backup aus dem Jahr 2024 zugegriffen hat. Zudem erlangte er unbefugten Zugang, über den er einen Speicher mit Daten aktueller Cadence-Nutzer hätte erreichen können – darunter E-Mail-Adressen, Projekt-Quellcode und Zugangsdaten.
“Betroffen ist dieselbe Gruppe von Nutzern, die wir zuvor direkt kontaktiert haben”, sagte Daniel Gallo, Solutions Engineering Lead bei JetBrains. “Die Erkenntnisse haben keine weiteren betroffenen Nutzer ergeben. Vorsorglich behandeln wir die dort gespeicherten Daten als potenziell offengelegt.”
JetBrains warnt außerdem davor, dass die Angreifer möglicherweise auf Quellcode zugegriffen haben, der aus PyCharm-Projekten auf den betroffenen Server synchronisiert wurde. Das betrifft Fälle, in denen Anwender PyCharm genutzt haben, um Projektdateien für die Ausführung in Cadence hochzuladen oder abzugleichen – dabei könnten unbeabsichtigt Code, Zugangsdaten oder Konfigurationen offengelegt worden sein.
Wer hinter dem Angriff steckt, ist unklar. Der betroffene Server unter der Adresse api.cadence.jetbrains.com wurde vom Netz genommen. JetBrains räumte ein, dass dieses System im Rahmen der eigenen Schwachstellenbehandlung hätte gepatcht werden müssen, machte aber keine Angaben dazu, warum das unterblieb. Sämtliche Zugriffstoken, die das Cadence-Plugin in PyCharm zur Verbindung mit dem Dienst nutzt, wurden für ungültig erklärt. Zusätzlich veröffentlichte das Unternehmen Kompromittierungsindikatoren.
Über die Rotation der Zugangsdaten hinaus sollen Anwender angebundene Systeme auf verdächtige Aktivitäten prüfen – insbesondere AWS-Konten, S3-Buckets, Deployment-Umgebungen sowie Paket- und Container-Registries und alle weiteren Systeme, die mit den widerrufenen Zugangsdaten erreichbar sind. Quellcode-Repositories sollten auf unautorisierte Änderungen im fraglichen Zeitraum hin überprüft werden.
“Zu den wahrscheinlichen Folgen der Offenlegung personenbezogener Daten zählt ein erhöhtes Risiko für gezieltes Phishing, Social Engineering, Identitätsmissbrauch sowie andere unerwünschte oder bösartige Kommunikation unter Verwendung der betroffenen Namen und E-Mail-Adressen”, so JetBrains.