Il backup di Cadence allarga il danno del TeamCity zero-day
JetBrains ha confermato che attaccanti hanno sfruttato CVE-2026-63077 in TeamCity per raggiungere il suo ambiente Cadence e accedere a un backup del 2024. Dentro c'erano credenziali e dati utente; l'azienda avverte che anche email, source code e segreti associati ai job possono essere stati esposti.
La falla permette a un attaccante senza login di aggirare i controlli di autenticazione attraverso dati deserializzati in modo non sicuro e di eseguire comandi con i privilegi del server TeamCity. Una volta preso quel server, tutto ciò che il sistema teneva per far girare le esecuzioni — segreti, credenziali e contenuti di backup — entra nello stesso perimetro dell'incidente.
Per chi usa TeamCity e Cadence, il punto non è solo il patching del server vulnerabile. Se le esecuzioni toccavano cloud account, repository o registry, quei segreti restano parte del danno anche dopo la correzione del CVE.