Wynik 9.8 w serwerze, który buduje wasze oprogramowanie

CVE-2026-63077 to podatność typu deserializacja niezaufanych danych, klasa, którą CISA rejestruje jako CWE-502, w JetBrains TeamCity On-Premises, serwerze integracji i ciągłego dostarczania, którego tysiące europejskich i brytyjskich zespołów programistycznych używa do kompilowania, testowania i wydawania własnego kodu. Ma wynik CVSS 9.8, niemal najwyższy poziom, zarezerwowany dla luk, które nie wymagają ani poświadczeń, ani interakcji użytkownika, i które od razu oddają atakującemu wszystko.

Luka znajduje się w protokole odpytywania agentów TeamCity, kanale, którym agenty budujące zgłaszają się do serwera. Atakujący, który może dotrzeć do tego kanału przez HTTP lub HTTPS, bez żadnego logowania, może wysłać spreparowany ładunek, który TeamCity deserializuje i wykonuje jako polecenie systemu operacyjnego, z dokładnie takimi uprawnieniami, jakie ma sam proces serwera TeamCity. Dotknięta jest każda wydana wersja on-premises; TeamCity Cloud, hostowany przez JetBrains, był już załatany i nie wymaga żadnego działania ze strony klientów.

Dziewięć dni od ujawnienia do potwierdzonego wykorzystania

JetBrains opublikował własny biuletyn bezpieczeństwa 27 lipca 2026 roku, uznając odkrycie i wydając poprawione wersje, TeamCity 2025.11.7 oraz 2026.1.3, wraz z wtyczką poprawki bezpieczeństwa obejmującą wersje od 2017.1 dla zespołów, które nie mogą natychmiast zaktualizować systemu. W tamtym momencie JetBrains oświadczył, że nie ma wiedzy o żadnym aktywnym wykorzystywaniu luki.

5 sierpnia 2026 roku amerykańska agencja CISA (Cybersecurity and Infrastructure Security Agency) dodała CVE-2026-63077 do swojego katalogu znanych wykorzystywanych podatności, listy, którą CISA zarezerwowała dla luk, których wykorzystywanie w rzeczywistych atakach potwierdziła, a nie jedynie teoretycznie możliwych. Zgodnie z Binding Operational Directive 26-04, amerykańskie federalne agencje cywilne miały czas do 8 sierpnia 2026 roku, minionej soboty, na załatanie lub odłączenie narażonych systemów. Wpis pojawił się w tym samym tygodniu, w którym CISA potwierdziła oddzielną falę aktywnego wykorzystywania luk w IBM Langflow, N-able N-central oraz Apache Tomcat, dodanych do katalogu dzień wcześniej, 4 sierpnia, w odrębnym biuletynie; inne podatności, inni dostawcy, ten sam przekaz o tym, jak mało czasu ma oprogramowanie infrastrukturalne dostępne z internetu, gdy luka staje się publiczna.

Włamanie do CI/CD to włamanie do łańcucha dostaw

Typowe włamanie do serwera WWW kosztuje organizację to, co znajduje się na tym jednym serwerze. TeamCity przechowuje więcej: klucze dostawców chmury i tokeny rejestrów kontenerów, których agenty budujące używają do wdrażania, poświadczenia repozytoriów pakietów, które pozwalają pipeline'owi publikować pod zweryfikowaną nazwą organizacji, oraz często klucze podpisywania kodu, dzięki którym wydane oprogramowanie wygląda dla każdego klienta na autentycznie należące do tej organizacji. Zdalne wykonanie kodu z uprawnieniami serwera na orkiestratorze w centrum tego łańcucha zaufania sięga do wszystkich tych poświadczeń naraz.

Atakujący, który dotrze aż tak daleko, może zrobić więcej niż skopiować bazę danych: może wstawić się w przyszłą kompilację, dopóki ktoś tego nie zauważy, ten sam mechanizm, który stoi za włamaniami do łańcucha dostaw, jakie dotknęły już dostawców oprogramowania znacznie większych niż typowa firma programistyczna z UE czy Wielkiej Brytanii. Narażenie wykracza poza sam serwer TeamCity, sięgając każdego klienta i każdego systemu poniżej w łańcuchu, który ufa temu, co ten serwer produkuje.

Termin nie jest wasz; wykorzystywanie już jest

Binding Operational Directive 26-04 wiąże prawnie wyłącznie amerykańskie federalne agencje cywilne, a firma programistyczna w Berlinie, Amsterdamie czy Manchesterze prowadząca TeamCity on-premises nie jest winna CISA żadnego raportu zgodności. Odczytanie tego jako przyzwolenia na załatanie według zwykłego harmonogramu myli artefakt zgodności z prognozą zagrożenia.

Najważniejszym faktem jest sam wpis w katalogu KEV. CISA dodaje CVE do tego katalogu dopiero wtedy, gdy potwierdzi, że prawdziwi atakujący wykorzystują ją przeciwko prawdziwym, dostępnym z internetu serwerom, a dostępna z internetu instancja TeamCity w UE lub Wielkiej Brytanii jest dla takiego atakującego dokładnie tak samo osiągalna, jak ta w stanie Wirginia. Dyrektywa NIS2 oraz własne brytyjskie wytyczne dla podmiotów kluczowych i ważnych już teraz oczekują, że organizacje będą traktować potwierdzone aktywne wykorzystywanie jako sytuację wyjątkową, niezależnie od tego, który rząd nazwał termin. Federalny termin minął w sobotę; narażenie, dla którego został napisany, wciąż pozostaje otwarte.

Co sprawdzić w tym tygodniu

Jeśli w waszym środowisku działa TeamCity On-Premises, poprawka ma numer wersji: aktualizacja do 2025.11.7 lub 2026.1.3. Tam, gdzie natychmiastowa aktualizacja nie jest możliwa, wtyczka poprawki bezpieczeństwa JetBrains obejmuje wersje od 2017.1 i zamyka lukę bez pełnego skoku wersji. Dopóki jeden z tych środków nie zostanie zastosowany, warto zdjąć serwer z otwartego internetu, ograniczyć dostęp do VPN lub innej zaufanej sieci, i potwierdzić, że proces TeamCity działa z minimalnymi uprawnieniami systemu operacyjnego, jakich potrzebuje, a nie z kontem administratora.

Załatanie zamyka drzwi na przyszłość. To, co mogło już wejść przed zastosowaniem poprawki, zasługuje na osobną uwagę: każde poświadczenie, do którego serwer TeamCity mógł dotrzeć, klucze API chmury, tokeny rejestrów, klucze podpisujące, klucze SSH wdrożeniowe, warto zrotować niezależnie od tego, czy włamanie zostało potwierdzone, ponieważ RCE przez deserializację działające z uprawnieniami procesu serwera nie pozostawia logów w sposób wiarygodnie proporcjonalny do tego, do czego uzyskało dostęp. Zanim wyjdzie kolejne wydanie, warto sprawdzić ostatnie artefakty budowania wobec znanych, dobrych sum kontrolnych sprzed okna narażenia.

Czytaj dalej: Kasując napastnika, kasujesz również własną logikę  |  Siemens i Schneider trafiły tam 22 lipca