A JetBrains TeamCity helyben telepített verzióit érintő, frissen javított biztonsági hibát már aktívan kihasználják – közölte az amerikai Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökség (CISA). A támadásokat már a gyakorlatban is észlelték.

A szóban forgó sebezhetőség a CVE-2026-63077 (CVSS pontszám: 9,8). Nem megbízható adatok deszerializálásáról van szó, ami lehetővé teszi, hogy egy hitelesítetlen támadó, aki hozzáfér a TeamCity szerverhez, megkerülje a hitelesítési ellenőrzéseket, és tetszőleges operációs rendszer parancsokat futtasson a TeamCity szerverfolyamat jogosultságaival.

„A JetBrains TeamCity egy nem megbízható adatok deszerializálására visszavezethető sebezhetőséget tartalmaz, amely lehetővé teheti a hitelesítetlen távoli kódfuttatást az agent polling protokollon keresztül” – írta a CISA.

A JetBrains szerint a sebezhetőséget egy hitelesítetlen támadó a TeamCity agent polling protokollján keresztül tudja kihasználni, így megkerüli a hitelesítési ellenőrzéseket, és tetszőleges operációs rendszer parancsokat futtathat.

A pontos hatás attól függ, milyen jogosultságokat kapott a TeamCity szerverfolyamat. Sikeres támadás esetén kiszivároghatnak a TeamCity adatai, konfigurációi és a tárolt hitelesítő adatok, módosulhat a szerver állapota, és akár a build artifaktumok, valamint a lefelé kapcsolódó CI/CD pipeline-ok integritása is sérülhet – figyelmeztet a JetBrains.

Egyelőre nem ismert, pontosan hogyan használják ki a sebezhetőséget a támadók, kik állnak a támadások mögött, és mekkora ezeknek a műveleteknek a kiterjedése. A JetBrains még nem frissítette a saját figyelmeztetését az aktív kihasználás megerősítésére.

A legfrissebb fejlemények fényében a helyben telepített verziókat futtató felhasználóknak azt javasolják, hogy mielőbb telepítsék a frissítéseket. A Binding Operational Directive (BOD) 26-04 értelmében a szövetségi polgári végrehajtó ág (FCEB) ügynökségeinek elsőbbséggel kell telepíteniük a magas kockázatú, a Known Exploited Vulnerabilities (KEV) katalógusban felsorolt sebezhetőségekre kiadott javítócsomagokat.

A szövetségi ügynökségeknek legkésőbb 2026. augusztus 8-ig kell alkalmazniuk a CVE-2026-63077-hez kapcsolódó szoftverjavító csomagokat vagy enyhítő megoldásokat.