Een 9.8 in de server die uw software bouwt

CVE-2026-63077 is een kwetsbaarheid door deserialisatie van niet-vertrouwde data, de klasse die CISA registreert onder CWE-502, in JetBrains TeamCity On-Premises, de continuous-integration- en continuous-delivery-server die duizenden Europese en Britse ontwikkelteams gebruiken om hun eigen code te compileren, te testen en uit te leveren. De CVSS-score is 9.8, het bijna hoogste niveau, gereserveerd voor fouten die geen credentials en geen gebruikersinteractie vereisen en de aanvaller in één keer alles geven.

De fout zit in het agent-pollingprotocol van TeamCity, het kanaal waarmee build-agents zich bij de server melden. Een aanvaller die dat kanaal via HTTP of HTTPS kan bereiken, zonder enige login, kan een geprepareerde payload sturen die TeamCity deserialiseert en uitvoert als besturingssysteemcommando, met precies de rechten waarover het TeamCity-serverproces zelf beschikt. Elke uitgebrachte on-premises versie is getroffen; TeamCity Cloud, gehost door JetBrains, was al gepatcht en vereist geen actie van klanten.

Negen dagen van bekendmaking tot bevestigde exploitatie

JetBrains publiceerde op 27 juli 2026 een eigen advisory, erkende de ontdekking en bracht gecorrigeerde builds uit, TeamCity 2025.11.7 en 2026.1.3, samen met een security-patchplugin die versies vanaf 2017.1 dekt voor teams die niet meteen kunnen upgraden. Op dat moment meldde JetBrains geen actieve exploitatie te kennen.

Op 5 augustus 2026 voegde het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) CVE-2026-63077 toe aan zijn Known Exploited Vulnerabilities-catalogus, de lijst die CISA reserveert voor fouten waarvan bevestigd is dat ze in echte aanvallen worden gebruikt, niet slechts theoretisch. Onder Binding Operational Directive 26-04 hadden Amerikaanse federale civiele instanties tot 8 augustus 2026, afgelopen zaterdag, om blootgestelde systemen te patchen of los te koppelen. De toevoeging kwam in dezelfde week waarin CISA een aparte golf van actieve exploitatie bevestigde tegen IBM Langflow, N-able N-central en Apache Tomcat, een dag eerder op 4 augustus toegevoegd aan de catalogus in een apart bulletin; andere kwetsbaarheden, andere leveranciers, dezelfde boodschap over hoe weinig speelruimte internet-facing infrastructuursoftware krijgt zodra een fout openbaar wordt.

Een CI/CD-inbraak is een supply-chain-inbraak

Een gewone webserver-inbraak kost een organisatie wat op die ene server staat. TeamCity bewaart meer: de cloud-providersleutels en container-registrytokens die build-agents gebruiken om te deployen, de package-repository-credentials waarmee een pipeline onder de geverifieerde naam van een organisatie publiceert, en vaak de code-signing-sleutels die uitgeleverde software voor elke klant die het installeert er authentiek van die organisatie laten uitzien. Remote code execution met serverrechten op de orchestrator in het hart van die vertrouwensketen bereikt al die credentials tegelijk.

Een aanvaller die zover komt, kan meer dan een database kopiëren: hij kan zichzelf in een toekomstige build nestelen tot iemand het merkt, hetzelfde mechanisme achter de supply-chain-compromittaties die softwareleveranciers hebben getroffen die veel groter zijn dan het typische Europese of Britse ontwikkelbedrijf. De blootstelling reikt verder dan de TeamCity-server zelf, tot elke klant en elk downstream-systeem dat vertrouwt op wat die server produceert.

De deadline is niet de uwe; de exploitatie is dat al wel

Binding Operational Directive 26-04 bindt juridisch alleen Amerikaanse federale civiele instanties, en een ontwikkelbedrijf in Berlijn, Amsterdam of Manchester dat TeamCity on-premises draait, is CISA geen nalevingsrapport verschuldigd. Dat lezen als een vrijbrief om volgens het gebruikelijke schema te patchen, verwart een compliance-artefact met een dreigingsprognose.

Het belangrijkste feit is de KEV-vermelding zelf. CISA voegt een CVE pas toe aan die catalogus zodra bevestigd is dat echte aanvallers hem gebruiken tegen echte, internet-facing servers, en een internet-facing TeamCity-instantie in de EU of het VK is voor die aanvaller precies even bereikbaar als een in Virginia. NIS2 en de eigen Britse richtlijnen voor essentiële en belangrijke entiteiten verwachten al dat organisaties bevestigde actieve exploitatie als operationele noodsituatie behandelen, ongeacht welke overheid de deadline heeft genoemd. De federale deadline verstreek zaterdag; de blootstelling waarvoor ze werd geschreven staat nog altijd open.

Wat deze week te controleren is

Als TeamCity On-Premises in uw omgeving draait, heeft de oplossing een versienummer: upgraden naar 2025.11.7 of 2026.1.3. Waar een directe upgrade niet mogelijk is, dekt de security-patchplugin van JetBrains versies vanaf 2017.1 en sluit het gat zonder volledige versiesprong. Tot een van beide is toegepast, loont het de server van het open internet te halen, de toegang te beperken tot een VPN of ander vertrouwd netwerk, en te bevestigen dat het TeamCity-proces draait met de minimale besturingssysteemrechten die het nodig heeft, niet met een beheerdersaccount.

Patchen sluit de deur voor de toekomst. Wat vóór de patch al is binnengekomen, verdient aparte aandacht: elke credential die de TeamCity-server kon bereiken, cloud-API-sleutels, registry-tokens, signeersleutels, deployment-SSH-sleutels, is het waard te roteren, ongeacht of een inbraak is bevestigd, want een deserialisatie-RCE die op serverprocesniveau draait, laat niet betrouwbaar logs achter in verhouding tot wat ze kon bereiken. Voordat de volgende release uitkomt, loont het recente build-artefacten te controleren tegen bekend goede hashes van vóór het blootstellingsvenster.

Lees hierna: Wie de aanvaller wist, wist ook de logica  |  Siemens en Schneider kwamen er op 22 juli bij