.svg "logo (2)"){kind=small}
Worum es bei der Schwachstelle geht
Die gemeldete Lücke betrifft das TeamCity agent polling protocol. JetBrains stuft sie als kritisch ein und hat sie unter CVE-2026-63077 erfasst. Nach Angaben des Unternehmens können Angreifer bei Ausnutzung sämtliche Authentifizierungsmechanismen des Tools umgehen. Danach sind beliebige Betriebssystembefehle auf dem Server möglich. Für Cloud-Kunden besteht laut Quelle kein Handlungsbedarf, betroffen sind die On-Premises-Versionen.
Welche Folgen ein Angriff haben kann
Ein erfolgreicher Angriff kann je nach Rechten des Serverprozesses weitreichende Folgen haben. Dazu zählen das Offenlegen von TeamCity-Daten, Konfigurationen und gespeicherten Zugangsdaten. Ebenso kann ein Angreifer den Serverzustand manipulieren. Die Schwachstelle liegt damit nicht nur auf der Ebene eines einzelnen Systems, sondern kann die gesamte CI/CD-Pipeline betreffen, die über TeamCity gesteuert wird. Weitere technische Details nennt die Quelle nicht.
Einordnung mit Zahlen und Versionsangaben
JetBrains bewertet die Schwachstelle mit einem CVSS-Score von 9.8 von 10. Die Meldung erfolgte am 10. Juli. Laut Quelle waren zum Zeitpunkt der Veröffentlichung keine aktiven Angriffe bekannt. Geschlossen wurde die Lücke mit den Serverversionen 2025.11.7 und 2026.1.3. Zusätzlich stellt JetBrains ein Sicherheitspatch-Plugin für Serverversionen ab 2017.1 bereit. Für Betreiber von On-Premises-Installationen ist damit vor allem wichtig, welche Version im Einsatz ist.
Begriffe kurz erklärt
On-Premises bedeutet, dass die Software auf eigenen Servern betrieben wird und nicht als Cloud-Dienst läuft. CI/CD-Pipelines sind die Abläufe für Build und Deployment, also für das Erstellen und Ausliefern von Software. CVE ist die Standardbezeichnung für bekannte Sicherheitslücken. Der CVSS-Score beschreibt, wie schwer eine Schwachstelle eingestuft wird; hier liegt der Wert bei 9.8. Das TeamCity agent polling protocol ist laut Quelle der betroffene Protokollteil, über den die Lücke ausgenutzt werden kann.
Welche Maßnahmen JetBrains nennt
JetBrains empfiehlt, die bereitgestellten Updates zeitnah einzuspielen. Außerdem rät das Unternehmen dazu, den Zugriff auf On-Premises-Server auf vertrauenswürdige Netzwerke zu beschränken. Die Server sollen mit minimal erforderlichen Betriebssystemrechten laufen. Zusätzlich sollen TeamCity-Server auf dedizierten Hosts betrieben werden, die von den Build-Agenten getrennt sind. Diese Maßnahmen zielen darauf, die Angriffsfläche zu verkleinern und die Auswirkungen eines möglichen Zugriffs zu begrenzen. Weitere organisatorische Vorgaben nennt die Quelle nicht.
Wer solche Themen im Kreis von Errichtern diskutieren will, findet bei Veranstaltungen einen passenden Einstieg.
Einordnung für Betreiber von On-Premises-Systemen
Die Quelle verweist darauf, dass JetBrains-Server in der jüngeren Vergangenheit mehrfach angegriffen wurden, unter anderem unter CVE-2024-23917 und CVE-2024-27199. Für die aktuelle Lücke heißt das vor allem: On-Premises-Betrieb braucht saubere Update-Prozesse und klare Rechtebegrenzung. Wer TeamCity einsetzt, sollte die eigene Version prüfen und die bereitgestellten Korrekturen einplanen. Für Cloud-Kunden nennt JetBrains keinen Handlungsbedarf. Weitere Schlüsse lassen sich aus dem Text nicht ableiten.
Wer sich mit anderen inhabergeführten Errichtern austauschen will, kann mehr über The Circle erfahren. Das Netzwerk richtet sich an Unternehmen, die offen kooperieren und technische Themen auf Augenhöhe besprechen wollen.
Quelle: Heise