LONDON (IT BOLTWISE) – JetBrains warnt vor einer kritischen TeamCity-On-Premises-Sicherheitslücke, die sich für eine unauthentifizierte Remote-Command-Ausführung missbrauchen lässt. Betroffen sind alle On-Prem-Versionen; JetBrains nennt CVE-2026-63077 mit einem CVSS-Wert von 9,8. Die Schwachstelle umgeht Authentifizierung über den Agent-Polling-Mechanismus und nutzt die Rechte des TeamCity-Serverprozesses. Für Systeme ohne Update steht zusätzlich ein Security-Patch-Plugin für TeamCity 2017.1+ bereit.
JetBrains fordert Betreiber von TeamCity in der On-Premises-Variante zum schnellen Update auf: Die Firma hat eine kritische Sicherheitslücke identifiziert, die unter Umständen eine Remote-Command-Execution ohne vorherige Authentifizierung ermöglicht. Konkret geht es um CVE-2026-63077 mit einem CVSS-Score von 9,8. Laut JetBrains betrifft die Schwachstelle alle TeamCity-On-Premises-Versionen; TeamCity Cloud-Instanzen seien bereits aktualisiert. Aus Sicht der Unternehmenssicherheit ist daran vor allem brisant, dass die Attacke nicht mit gestohlenen Log-in-Daten beginnen muss, sondern mit HTTP(S)-Zugriff auf den Server.
Technisch beschreibt JetBrains, dass ein Angreifer über das Agent-Polling-Protokoll unauthentifiziert Remote Code Execution erreichen und dabei Authentifizierungsprüfungen umgehen kann. Damit wird ein Bereich adressiert, der in CI/CD-Setups häufig als Kommunikations- und Steuerkanal zwischen TeamCity-Server und Build-Agenten dient. Wenn der Angreifer die Ausführung erst einmal in Gang setzt, laufen die Befehle mit den Rechten des TeamCity-Serverprozesses. Das ist entscheidend, weil daraus je nach Berechtigungen nicht nur eine Manipulation des Serverzustands folgt, sondern auch das Auslesen oder Gefährden von TeamCity-Daten, Konfigurationen und gespeicherten Zugangsdaten möglich ist.
Für die Risikoabschätzung nennt JetBrains außerdem klare Gegenmaßnahmen. Empfohlen wird das Update auf die Versionen 2025.11.7 oder 2026.1.3, in denen der Fehler behoben ist. Für Teams, die nicht sofort upgraden können, existiert zudem ein Security-Patch-Plugin für TeamCity 2017.1+; damit lassen sich Umgebungen zwischenzeitlich schließen, ohne zwingend auf die genannten Zielversionen springen zu müssen. Wichtig ist dabei der Hinweis des Herstellers: Das Plugin adressiert ausschließlich die beschriebene Schwachstelle CVE-2026-63077 und ersetzt nicht das vollständige Update, das auch weitere sicherheitsrelevante Verbesserungen umfasst.
Aus Betriebssicht lohnt sich außerdem die Einordnung, wie Angreifer typischerweise in CI-Systeme eindringen. TeamCity wird in vielen Organisationen nicht nur intern genutzt, sondern teils absichtlich oder aus Komfortgründen auch mit externen Zugriffen kombiniert, etwa über öffentlich erreichbare URLs oder falsch abgesicherte Netzpfade. JetBrains rät daher, die Angriffsfläche zu reduzieren: Betreiber sollen TeamCity-Server, die das Internet-facing haben, nicht ungeschützt betreiben. Als Best Practice empfiehlt der Hersteller, VPN-Verbindungen zu verlangen oder eine zusätzliche Zugriffsschutzschicht einzusetzen. Auch der Hinweis, dass selbst das bloße Anzeigen der Login-Seite oder der REST-API potenzielle Einstiegspunkte bietet, zeigt, wie stark Angreifer bei neu veröffentlichten Schwachstellen auf Fingerprinting und gezielte Ausnutzung setzen.
Zur Lage gibt JetBrains außerdem Entwarnung in einem zentralen Punkt: Es gebe keine Hinweise darauf, dass die Lücke bereits in freier Wildbahn ausgenutzt wurde. Trotzdem wird die Zeitplanung im Patch-Management dadurch nicht weniger anspruchsvoll. Gerade bei CI/CD-Infrastrukturen kann die Auswirkung einer kompromittierten Ausführungsumgebung über reine Build-Prozesse hinausgehen, etwa durch Zugriff auf Secrets, Umgebungsvariablen, Artifact-Konfigurationen oder interne Dienste, die in Pipelines häufig eingebunden sind. Wer TeamCity als Kernkomponente für Release-Prozesse nutzt, sollte deshalb nicht nur auf die technische Korrektur schauen, sondern auch prüfen, ob nach dem Update weitere Hardening-Schritte nötig sind, um den Serverprozess in einem möglichst begrenzten Rechtekontext zu betreiben.
Für IT-Teams bedeutet das vor allem: Priorität beim Upgrade und bei der Netzwerksegmentierung. In der Praxis heißt das, den On-Premises-Stand von TeamCity zu inventarisieren und anschließend die betroffenen Systeme entweder auf 2025.11.7 bzw. 2026.1.3 zu bringen oder den passenden Patch-Plugin-Schritt für 2017.1+ kurzfristig zu aktivieren. Danach sollte der Zugriff auf den Agent- und Serververkehr überprüft werden, insbesondere dort, wo Agentenpolling stattfindet und wo externe HTTP(S)-Zugriffe möglich sind. Im Vergleich zu anderen CI/CD-Werkzeugen liegt der Fokus in solchen Fällen meist weniger auf der reinen Pipeline-Funktionalität als auf dem sicheren Betrieb der Steuer- und Kommunikationswege; genau diese Schnittstellen werden hier zur Angriffsfläche, wenn Authentifizierungsannahmen nicht belastbar sind.
Abschließend bleibt der wichtigste operative Hebel: Wenn TeamCity extern erreichbar ist, muss das Risiko jetzt wie bei einem Incident betrachtet werden – mit klarer Handlungsreihenfolge aus Update bzw. Patch-Plugin, Netzwerkabsicherung und erneuter Bewertung der Berechtigungen des TeamCity-Serverprozesses. Das gilt umso mehr, weil ein erfolgreicher Angriff nicht nur zu Datenexfiltration führen kann, sondern potenziell auch zur Manipulation des Serverzustands. JetBrains ist zudem transparent in der Empfehlung, künftig „mindestens“ die Patch-Logik vollständig per Update abzuschließen, nicht nur temporär über das Plugin. Wer CI/CD als Teil der Produktionskette begreift, sollte die Lücke als Testfall für Reaktionsfähigkeit im Vulnerability-Management nutzen und die nächsten Schwachstellen-Transparenzfenster im TeamCity-Umfeld schon jetzt organisatorisch vorbereiten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "TeamCity: Kritische Lücke (CVE-2026-63077) ermöglicht Remote-Command-Execution ohne Authentifizierung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "TeamCity: Kritische Lücke (CVE-2026-63077) ermöglicht Remote-Command-Execution ohne Authentifizierung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »TeamCity: Kritische Lücke (CVE-2026-63077) ermöglicht Remote-Command-Execution ohne Authentifizierung« bei Google Deutschland suchen, bei Bing oder Google News!