Un 9.8 en el servidor que construye su software

CVE-2026-63077 es una vulnerabilidad de deserialización de datos no confiables, la clase que CISA cataloga como CWE-502, en JetBrains TeamCity On-Premises, el servidor de integración y entrega continua que miles de equipos de desarrollo europeos y británicos usan para compilar, probar y publicar su propio código. Alcanza un CVSS de 9.8, el nivel casi máximo reservado para fallos que no necesitan credenciales ni interacción del usuario y que entregan todo al atacante de una vez.

El fallo reside en el protocolo de sondeo de agentes de TeamCity, el canal que los agentes de compilación usan para conectarse con el servidor. Un atacante que pueda alcanzar ese canal por HTTP o HTTPS, sin necesidad de inicio de sesión, puede enviar una carga útil manipulada que TeamCity deserializa y ejecuta como comando del sistema operativo, con los mismos privilegios que posee el propio proceso del servidor TeamCity. Todas las versiones on-premise publicadas están afectadas; TeamCity Cloud, alojado por JetBrains, ya estaba parcheado y no requiere ninguna acción de los clientes.

Nueve días desde la revelación hasta la explotación confirmada

JetBrains publicó su propio aviso el 27 de julio de 2026, reconociendo el descubrimiento y publicando compilaciones corregidas, TeamCity 2025.11.7 y 2026.1.3, junto con un plugin de parche de seguridad que cubre desde la versión 2017.1 para los equipos que no puedan actualizar de inmediato. En ese momento, JetBrains afirmó no tener constancia de ninguna explotación activa.

El 5 de agosto de 2026, la agencia estadounidense CISA (Cybersecurity and Infrastructure Security Agency) añadió CVE-2026-63077 a su catálogo de vulnerabilidades explotadas conocidas, la lista que CISA reserva para fallos cuya explotación en ataques reales ha confirmado, no meramente teóricos. Bajo la Directiva Operativa Vinculante 26-04, las agencias civiles federales de EE.UU. tenían hasta el 8 de agosto de 2026, el sábado pasado, para parchear o desconectar los sistemas expuestos. La entrada llegó la misma semana en que CISA confirmó otra ola distinta de explotación activa contra IBM Langflow, N-able N-central y Apache Tomcat, añadida al catálogo un día antes, el 4 de agosto, en un boletín independiente; vulnerabilidades distintas, fabricantes distintos, el mismo mensaje sobre el poco margen que le queda al software de infraestructura expuesto a internet una vez que un fallo se hace público.

Una brecha en CI/CD es una brecha en la cadena de suministro

Un ataque típico a un servidor web cuesta a una organización lo que reside en ese único servidor. TeamCity guarda más que eso: las claves de proveedores de nube y los tokens de registro de contenedores que usan los agentes de compilación para desplegar, las credenciales de repositorios de paquetes que permiten a un pipeline publicar bajo el nombre verificado de una organización, y a menudo las claves de firma de código que hacen que el software publicado parezca auténticamente suyo ante cada cliente que lo instala. La ejecución remota de código con privilegios de servidor en el orquestador situado en el centro de esa cadena de confianza alcanza todas esas credenciales a la vez.

Un atacante que llega hasta aquí puede hacer más que copiar una base de datos: puede insertarse en una futura compilación hasta que alguien lo note, el mismo mecanismo detrás de los compromisos de cadena de suministro que ya han afectado a fabricantes de software mucho más grandes que la típica empresa de desarrollo europea o británica. La exposición se extiende más allá del propio servidor TeamCity, hasta cada cliente y cada sistema posterior que confía en lo que ese servidor produce.

El plazo no es suyo; la explotación ya lo es

La Directiva Operativa Vinculante 26-04 vincula legalmente solo a las agencias civiles federales de EE.UU., y una empresa de desarrollo en Madrid, Ámsterdam o Mánchester que ejecute TeamCity on-premises no le debe a CISA ningún informe de cumplimiento. Leer eso como licencia para parchear según el calendario habitual confunde un artefacto de cumplimiento con una previsión de amenaza.

El hecho que más importa es la propia entrada en el catálogo KEV. CISA añade una CVE a ese catálogo solo cuando ha confirmado que atacantes reales la usan contra servidores reales expuestos a internet, y una instancia de TeamCity expuesta a internet en la UE o el Reino Unido es exactamente tan alcanzable para ese atacante como una en Virginia. La directiva NIS2 y las propias guías británicas para entidades esenciales e importantes ya esperan que las organizaciones traten la explotación activa confirmada como una emergencia operativa, con independencia de qué gobierno haya nombrado el plazo. El plazo federal venció el sábado; la exposición para la que se escribió sigue abierta.

Qué revisar esta semana

Si TeamCity On-Premises se ejecuta en su entorno, la corrección tiene un número de versión: actualizar a 2025.11.7 o 2026.1.3. Cuando una actualización inmediata no sea posible, el plugin de parche de seguridad de JetBrains cubre versiones desde la 2017.1 y cierra el agujero sin necesidad de un salto completo de versión. Hasta que se aplique una de las dos medidas, conviene retirar el servidor de internet abierto, restringir el acceso a una VPN u otra red de confianza, y confirmar que el proceso de TeamCity se ejecuta con los privilegios mínimos de sistema operativo que necesita, no con una cuenta de administrador.

Parchear cierra la puerta de cara al futuro. Lo que ya pudo haber entrado antes de aplicar el parche merece atención aparte: toda credencial que el servidor TeamCity pudiera alcanzar, claves de API de nube, tokens de registro, claves de firma, claves SSH de despliegue, conviene rotarla independientemente de si se ha confirmado una intrusión, porque una RCE por deserialización con privilegios de proceso de servidor no deja registros de forma fiable en proporción a lo que llegó a acceder. Antes de que salga la próxima publicación, conviene comprobar los artefactos de compilación recientes contra sumas de verificación conocidas y buenas de antes de la ventana de exposición.

Leer a continuación: Borrar al atacante borra también tu lógica  |  Siemens y Schneider entraron el 22 de julio