Un 9.8 nel server che compila il tuo software

CVE-2026-63077 è una vulnerabilità di deserializzazione di dati non attendibili, la classe che CISA classifica come CWE-502, in JetBrains TeamCity On-Premises, il server di integrazione e distribuzione continua che migliaia di team di sviluppo europei e britannici usano per compilare, testare e distribuire il proprio codice. Ha un punteggio CVSS di 9.8, il livello quasi massimo riservato alle falle che non richiedono credenziali né interazione dell'utente e che consegnano tutto all'attaccante in un colpo solo.

La falla risiede nel protocollo di polling degli agent di TeamCity, il canale che gli agent di build usano per registrarsi presso il server. Un attaccante che riesce a raggiungere quel canale via HTTP o HTTPS, senza alcun login richiesto, può inviare un payload appositamente costruito che TeamCity deserializza ed esegue come comando del sistema operativo, con gli stessi privilegi con cui gira il processo del server TeamCity. Sono coinvolte tutte le versioni on-premise rilasciate; TeamCity Cloud, ospitato da JetBrains, era già stato corretto e non richiede alcuna azione da parte dei clienti.

Nove giorni dalla divulgazione allo sfruttamento confermato

JetBrains ha pubblicato il proprio avviso il 27 luglio 2026, riconoscendo la scoperta e rilasciando build corrette, TeamCity 2025.11.7 e 2026.1.3, insieme a un plugin di patch di sicurezza che copre dalla versione 2017.1 in poi per i team che non possono aggiornare immediatamente. All'epoca, JetBrains ha dichiarato di non essere a conoscenza di alcuno sfruttamento attivo.

Il 5 agosto 2026, l'agenzia statunitense CISA (Cybersecurity and Infrastructure Security Agency) ha aggiunto CVE-2026-63077 al proprio catalogo delle vulnerabilità sfruttate note, l'elenco che CISA riserva alle falle di cui ha confermato lo sfruttamento in attacchi reali, non semplicemente teorici. In base alla Binding Operational Directive 26-04, le agenzie civili federali statunitensi avevano tempo fino all'8 agosto 2026, lo scorso sabato, per applicare la patch o disconnettere i sistemi esposti. L'inserimento è arrivato nella stessa settimana in cui CISA ha confermato un'altra ondata distinta di sfruttamento attivo contro IBM Langflow, N-able N-central e Apache Tomcat, aggiunta al catalogo un giorno prima, il 4 agosto, in un bollettino separato; vulnerabilità diverse, fornitori diversi, lo stesso messaggio su quanto poco margine resti al software di infrastruttura esposto a internet una volta che una falla diventa pubblica.

Una violazione CI/CD è una violazione della supply chain

Una tipica compromissione di un server web costa a un'organizzazione ciò che risiede su quell'unico server. TeamCity custodisce di più: le chiavi dei fornitori cloud e i token dei registry dei container che gli agent di build usano per il deployment, le credenziali dei repository di pacchetti che permettono a una pipeline di pubblicare sotto il nome verificato di un'organizzazione, e spesso le chiavi di firma del codice che fanno apparire il software rilasciato autenticamente proprio a ogni cliente che lo installa. L'esecuzione di codice remoto con privilegi di server sull'orchestratore al centro di quella catena di fiducia raggiunge tutte quelle credenziali in un colpo solo.

Un attaccante che arriva a questo punto può fare più che copiare un database: può inserirsi in una futura build finché qualcuno non se ne accorge, lo stesso meccanismo dietro le compromissioni della supply chain che hanno già colpito fornitori di software ben più grandi della tipica azienda di sviluppo europea o britannica. L'esposizione si estende oltre il server TeamCity stesso, fino a ogni cliente e ogni sistema a valle che si fida di ciò che quel server produce.

La scadenza non è vostra; lo sfruttamento già lo è

La Binding Operational Directive 26-04 vincola legalmente solo le agenzie civili federali statunitensi, e un'azienda di sviluppo a Milano, Amsterdam o Manchester che gestisce TeamCity on-premises non deve a CISA alcun rapporto di conformità. Leggere questo come una licenza per applicare la patch secondo il calendario abituale scambia un artefatto di conformità per una previsione di minaccia.

Il fatto più importante è l'inserimento nel catalogo KEV in sé. CISA aggiunge una CVE a quel catalogo solo dopo aver confermato che attaccanti reali la usano contro server reali esposti a internet, e un'istanza TeamCity esposta a internet nell'UE o nel Regno Unito è raggiungibile da quell'attaccante esattamente quanto una in Virginia. La direttiva NIS2 e le linee guida britanniche per le entità essenziali e importanti già impongono alle organizzazioni di trattare lo sfruttamento attivo confermato come un'emergenza operativa, indipendentemente da quale governo abbia fissato la scadenza. La scadenza federale è scaduta sabato; l'esposizione per cui era stata scritta rimane aperta.

Cosa verificare questa settimana

Se TeamCity On-Premises gira nel vostro ambiente, la correzione ha un numero di versione: aggiornare a 2025.11.7 o 2026.1.3. Dove un aggiornamento immediato non è possibile, il plugin di patch di sicurezza di JetBrains copre le versioni a partire dalla 2017.1 e chiude la falla senza un salto completo di versione. Finché non viene applicata una delle due misure, conviene togliere il server da internet aperto, limitare l'accesso a una VPN o a un'altra rete fidata, e verificare che il processo TeamCity giri con i privilegi minimi del sistema operativo di cui ha bisogno, non con un account amministratore.

Applicare la patch chiude la porta per il futuro. Ciò che potrebbe essere già passato prima dell'applicazione della patch merita attenzione separata: ogni credenziale che il server TeamCity poteva raggiungere, chiavi API cloud, token dei registry, chiavi di firma, chiavi SSH di deployment, vale la pena ruotarla indipendentemente dal fatto che un'intrusione sia stata confermata, perché una RCE da deserializzazione con privilegi del processo server non lascia log in modo affidabile in proporzione a ciò a cui ha avuto accesso. Prima che esca la prossima release, conviene verificare gli artefatti di build recenti rispetto a hash noti e corretti risalenti a prima della finestra di esposizione.

Da leggere ora: Cancellare l'attaccante cancella anche la logica  |  Siemens e Schneider sono entrate il 22 luglio