CISA: критическую уязвимость TeamCity начали использовать вымогатели

Американское агентство по кибербезопасности и защите инфраструктуры (CISA) в среду сообщило федеральным ведомствам, что критическую уязвимость в JetBrains TeamCity теперь используют и группировки вымогателей.

Суть уязвимости

Ошибка с идентификатором CVE-2026-63077 закрыта JetBrains 25 июля в редакциях TeamCity On-Premises 2025.11.7 и 2026.1.3. Речь идёт о критическом обходе аутентификации: атакующий, имеющий доступ по HTTP(S), может выполнить произвольные команды операционной системы.

По описанию JetBrains, неаутентифицированный злоумышленник эксплуатирует брешь через протокол опроса агентов TeamCity, минуя проверки подлинности, и выполняет команды с правами процесса сервера. В зависимости от этих прав атака способна раскрыть данные, конфигурации и сохранённые учётные записи, изменить состояние сервера и поставить под угрозу целостность артефактов сборки и связанных конвейеров CI/CD.

Хронология атак

5 августа CISA внесла уязвимость в каталог активно эксплуатируемых брешей и предписала федеральным ведомствам защитить сети в течение трёх дней. 7 августа JetBrains подтвердила эксплуатацию в реальных атаках, опубликовала индикаторы компрометации и рекомендовала тем, кто не может немедленно установить патч, ограничить доступ доверенными сетями.

В среду агентство вновь обновило каталог, отметив, что уязвимость теперь применяется именно группировками вымогателей. Подробностей об этих атаках CISA пока не приводит.

С октября 2023 года ведомство пометило как эксплуатируемые уже четыре уязвимости TeamCity — и все они также использовались в атаках с шифровальщиками.

Масштаб

Служба мониторинга Shadowserver отслеживает чуть более 160 серверов TeamCity без исправления против CVE-2026-63077 — против изначальных 700 доступных из интернета уязвимых машин, замеченных сразу после выхода патча.

Поскольку уязвимости TeamCity нередко берут на вооружение и государственные хакерские группы, администраторам советуют немедленно обновить серверы, доступные из сети. Так, в октябре 2024 года ведомства США и Великобритании предупреждали, что связанная со Службой внешней разведки России группа APT29 массово атаковала уязвимые серверы JetBrains TeamCity и Zimbra.

TeamCity — платформа непрерывной интеграции и доставки (CI/CD), автоматизирующая сборку, тестирование и развёртывание кода. По данным JetBrains, её используют более 30 000 команд DevOps, в том числе в Citibank, Amazon Games, Tesla и Samsung.

Источник: Bleeping Computer