Vulnerabilità ed exploit · Exploit zero-day

TeamCity passa da patch a compromissione attiva del piano CI/CD

CISA ha spostato TeamCity fuori dalla categoria dei semplici bug da correggere: con l’ingresso nel KEV, la falla diventa un caso di compromissione attiva del piano CI/CD. Il punto debole non è solo il server, ma la fiducia che il server concede al canale degli agent, dove una richiesta costruita ad arte può far eseguire comandi senza un accesso valido.

La conferma è arrivata con CVE-2026-63077, una deserialization di dati non fidati che consente a un attaccante non autenticato di bypassare i controlli e lanciare OS command con i privilegi del processo TeamCity. JetBrains l’aveva corretta in TeamCity On-Premises 2026.1.3 e 2025.11.7, con security patch plugin per le versioni 2017.1+, ma aveva anche detto di non vedere sfruttamento attivo; CISA ha invece indicato sfruttamento in the wild e fissato la scadenza federale all’8 agosto 2026.

Per chi gestisce CI/CD, la superficie esposta è la software factory: credenziali salvate, configurazioni del server, stato dei build e integrità degli artifact possono finire coinvolti insieme al singolo host. Il segnale operativo è che il controllo del server può propagarsi downstream, quindi il rischio non resta confinato alla macchina TeamCity.

6 fonti · 7 ago

CVE-2026-63077

NVD KEV

Sfruttamento noto · CISA KEV

CVSS 9.8 CRITICAL: in JetBrains TeamCity before 2026.1.3, 2025.11.7 unauthenticated remote code execution was possible via the agent…

Data di correzione federale CISA 8 ago

Cronologia

Fonti

Part of the PlainSec briefing for 2026-07-29

Every edition of this story: TeamCity passa da patch a compromissione attiva del piano CI/CD

Altro da oggi