Um 9.8 no servidor que compila o vosso software

A CVE-2026-63077 é uma vulnerabilidade de deserialização de dados não fiáveis, a classe que a CISA regista como CWE-502, no JetBrains TeamCity On-Premises, o servidor de integração e entrega contínuas que milhares de equipas de desenvolvimento europeias e britânicas usam para compilar, testar e distribuir o seu próprio código. Tem uma pontuação CVSS de 9.8, o nível quase máximo reservado a falhas que não exigem credenciais nem interação do utilizador e que entregam tudo ao atacante de uma só vez.

A falha reside no protocolo de polling de agentes do TeamCity, o canal que os agentes de build usam para se registarem junto do servidor. Um atacante que consiga alcançar esse canal por HTTP ou HTTPS, sem qualquer início de sessão, pode enviar uma carga manipulada que o TeamCity deserializa e executa como comando do sistema operativo, com exatamente os privilégios que o próprio processo do servidor TeamCity possui. Todas as versões on-premises lançadas são afetadas; o TeamCity Cloud, alojado pela JetBrains, já estava corrigido e não exige qualquer ação por parte dos clientes.

Nove dias entre a divulgação e a exploração confirmada

A JetBrains publicou o seu próprio aviso a 27 de julho de 2026, reconhecendo a descoberta e disponibilizando builds corrigidas, TeamCity 2025.11.7 e 2026.1.3, juntamente com um plugin de correção de segurança que cobre a partir da versão 2017.1 para equipas que não possam atualizar de imediato. Nessa altura, a JetBrains afirmou não ter conhecimento de qualquer exploração ativa.

A 5 de agosto de 2026, a agência norte-americana CISA (Cybersecurity and Infrastructure Security Agency) adicionou a CVE-2026-63077 ao seu catálogo de vulnerabilidades exploradas conhecidas, a lista que a CISA reserva a falhas cuja exploração em ataques reais confirmou, não apenas teóricos. Ao abrigo da Binding Operational Directive 26-04, as agências civis federais dos EUA tinham até 8 de agosto de 2026, o passado sábado, para corrigir ou desligar os sistemas expostos. A entrada surgiu na mesma semana em que a CISA confirmou uma vaga distinta de exploração ativa contra o IBM Langflow, o N-able N-central e o Apache Tomcat, adicionada ao catálogo um dia antes, a 4 de agosto, num boletim separado; vulnerabilidades diferentes, fornecedores diferentes, a mesma mensagem sobre a pouca margem que resta a software de infraestrutura exposto à internet assim que uma falha se torna pública.

Uma violação de CI/CD é uma violação da cadeia de fornecimento

Uma violação típica de um servidor web custa a uma organização o que reside nesse único servidor. O TeamCity guarda mais do que isso: as chaves dos fornecedores de nuvem e os tokens de registo de contentores que os agentes de build usam para implementar, as credenciais de repositórios de pacotes que permitem a um pipeline publicar sob o nome verificado de uma organização, e frequentemente as chaves de assinatura de código que fazem o software distribuído parecer autenticamente seu perante cada cliente que o instala. A execução remota de código com privilégios de servidor no orquestrador situado no centro dessa cadeia de confiança alcança todas essas credenciais de uma só vez.

Um atacante que chega até aqui pode fazer mais do que copiar uma base de dados: pode inserir-se numa futura build até alguém reparar, o mesmo mecanismo por trás das comprometimentos da cadeia de fornecimento que já atingiram fabricantes de software bem maiores do que a típica empresa de desenvolvimento europeia ou britânica. A exposição estende-se para lá do próprio servidor TeamCity, até cada cliente e cada sistema a jusante que confia no que esse servidor produz.

O prazo não é vosso; a exploração já o é

A Binding Operational Directive 26-04 vincula legalmente apenas as agências civis federais dos EUA, e uma empresa de desenvolvimento em Lisboa, Amesterdão ou Manchester que opere TeamCity on-premises não deve à CISA qualquer relatório de conformidade. Ler isso como uma licença para corrigir segundo o calendário habitual confunde um artefacto de conformidade com uma previsão de ameaça.

O facto mais importante é a própria entrada no catálogo KEV. A CISA só adiciona uma CVE a esse catálogo depois de confirmar que atacantes reais a usam contra servidores reais expostos à internet, e uma instância TeamCity exposta à internet na UE ou no Reino Unido está exatamente tão acessível a esse atacante como uma na Virgínia. A diretiva NIS2 e as próprias orientações britânicas para entidades essenciais e importantes já esperam que as organizações tratem a exploração ativa confirmada como uma emergência operacional, independentemente de qual governo tenha nomeado o prazo. O prazo federal expirou no sábado; a exposição para a qual foi escrito continua aberta.

O que verificar esta semana

Se o TeamCity On-Premises estiver a funcionar no vosso ambiente, a correção tem um número de versão: atualizar para 2025.11.7 ou 2026.1.3. Quando uma atualização imediata não for possível, o plugin de correção de segurança da JetBrains cobre versões desde a 2017.1 e fecha a falha sem um salto completo de versão. Até que uma das duas medidas seja aplicada, vale a pena retirar o servidor da internet aberta, restringir o acesso a uma VPN ou outra rede de confiança, e confirmar que o processo TeamCity está a ser executado com os privilégios mínimos de sistema operativo de que precisa, não com uma conta de administrador.

Corrigir fecha a porta para o futuro. O que já possa ter entrado antes da correção ser aplicada merece atenção separada: qualquer credencial que o servidor TeamCity pudesse alcançar, chaves de API de nuvem, tokens de registo, chaves de assinatura, chaves SSH de implementação, vale a pena rodar independentemente de uma intrusão ter sido confirmada, porque uma RCE por deserialização a correr com privilégios do processo do servidor não deixa registos de forma fiável em proporção ao que conseguiu aceder. Antes de sair a próxima versão, vale a pena verificar os artefactos de build recentes face a hashes conhecidos e corretos de antes da janela de exposição.

Leia a seguir: Apagar o atacante apaga também a sua lógica  |  Siemens e Schneider entraram a 22 de julho