A JetBrains corrigiu uma vulnerabilidade crítica de execução remota de código sem autenticação no TeamCity On-Premises, identificada como CVE-2026-63077. Com pontuação CVSS 9.8, a falha permite que um atacante remoto com acesso HTTP(S) ao servidor ignore controles de autenticação e execute comandos arbitrários no sistema operacional, com os privilégios do processo do TeamCity. Todas as versões do TeamCity On-Premises são afetadas. As versões corrigidas são 2025.11.7 e 2026.1.3, e um plugin de patch de segurança cobre instalações a partir da 2017.1. A falha foi reportada de forma privada em 10 de julho de 2026 pelo pesquisador Antoni Tremblay e divulgada publicamente em 27 de julho.

Como a falha funciona

O problema é classificado como desserialização de dados não confiáveis, categoria CWE-502. O vetor de ataque é o protocolo de polling de agentes do TeamCity, o mecanismo pelo qual os agentes de build se comunicam periodicamente com o servidor central para receber tarefas e reportar resultados. Um atacante remoto não autenticado envia dados maliciosos que o servidor desserializa sem validação adequada, resultando em execução de comandos arbitrários no contexto do processo do TeamCity. Como a exploração não exige credenciais nem interação do usuário, qualquer servidor TeamCity acessível pela internet está potencialmente exposto. O sucesso do ataque depende dos privilégios concedidos ao processo do servidor no sistema operacional hospedeiro.

Impacto do comprometimento

Dependendo dos privilégios concedidos ao processo do servidor TeamCity no sistema operacional, a exploração bem-sucedida pode expor dados de configuração, credenciais armazenadas e segredos de pipeline. O atacante pode modificar o estado do servidor, comprometer a integridade de artefatos de build e, em cenários mais graves, comprometer toda a cadeia de CI/CD downstream.

No momento da divulgação, a JetBrains afirmava não ter conhecimento de exploração ativa no mundo real. A combinação de acesso não autenticado, automação viável e gravidade máxima torna a janela de risco entre a divulgação pública e a correção particularmente perigosa para instalações expostas.

O NVD registrou a avaliação de SSVC feita pelo CISA com exploração classificada como automatizável e impacto técnico total, sinal de alto potencial para campanhas em larga escala. Em ambientes onde o TeamCity orquestra deploys para produção, o comprometimento pode escalar para acesso à infraestrutura de nuvem, bancos de dados e sistemas internos.

Como corrigir e mitigar

A correção definitiva está nas versões 2025.11.7 e 2026.1.3 do TeamCity On-Premises, instaláveis por download manual ou pelo mecanismo de atualização automática do próprio servidor. Para quem não puder atualizar de imediato, a JetBrains lançou um plugin de patch de segurança compatível com versões 2017.1 e superiores; ele endereça apenas esta vulnerabilidade específica e não substitui a atualização completa.

Procedimento recomendado de resposta:

  1. Inventariar todos os servidores TeamCity On-Premises, incluindo instâncias de homologação, agentes e ambientes legados.
  2. Verificar a versão instalada e confirmar se o servidor está exposto à internet ou a redes não confiáveis.
  3. Atualizar para 2025.11.7 ou 2026.1.3; se inviável no curto prazo, instalar o plugin de patch de segurança imediatamente.
  4. Restringir o acesso de rede ao servidor apenas a usuários e sistemas autorizados, preferencialmente por VPN.
  5. Rotacionar credenciais e segredos armazenados no TeamCity após a correção, sobretudo se o servidor esteve exposto.
  6. Monitorar logs do servidor em busca de atividades anômalas no período entre a exposição e a correção.

Clientes do TeamCity Cloud não precisam tomar nenhuma medida, pois a JetBrains já aplicou as proteções necessárias e verificou que não houve evidência de exploração nesses ambientes.

Proteção de pipelines de CI/CD

Falhas em ferramentas de CI/CD têm consequências que extrapolam o servidor comprometido. Quando um atacante obtém execução de código num servidor de build, pode injetar código malicioso em artefatos, adulterar dependências e comprometer ambientes de produção. Servidores de build concentram acesso a repositórios, registros de contêineres e chaves de deploy, o que os torna alvos de alto valor. A experiência com a CVE-2026-48095 no 7-Zip demonstrou como bibliotecas incorporadas em pipelines amplificam o alcance de uma única vulnerabilidade.

Como prática de defesa em profundidade, a JetBrains recomenda exigir conexões VPN para servidores TeamCity voltados à internet, executar o servidor com privilégios mínimos e manter servidores e agentes em hosts dedicados separados. A consolidação de segredos, a rotação periódica de credenciais e o monitoramento contínuo reduzem o impacto de um eventual comprometimento, conforme lições recorrentes de incidentes que envolvem credenciais expostas e infraestrutura de código.

Fontes