CVE-2026-63077
Sfruttamento noto · CISA KEV
CVSS 9.8 CRITICAL: in JetBrains TeamCity before 2026.1.3, 2025.11.7 unauthenticated remote code execution was possible via the agent…
Data di correzione federale CISA 8 ago · data superata
Vulnerabilità ed exploit · Attacco ad app web
JetBrains ha confermato che attaccanti hanno sfruttato CVE-2026-63077 in TeamCity per raggiungere il suo ambiente Cadence e accedere a un backup del 2024. Dentro c'erano credenziali e dati utente; l'azienda avverte che anche email, source code e segreti associati ai job possono essere stati esposti.
La falla permette a un attaccante senza login di aggirare i controlli di autenticazione attraverso dati deserializzati in modo non sicuro e di eseguire comandi con i privilegi del server TeamCity. Una volta preso quel server, tutto ciò che il sistema teneva per far girare le esecuzioni — segreti, credenziali e contenuti di backup — entra nello stesso perimetro dell'incidente.
Per chi usa TeamCity e Cadence, il punto non è solo il patching del server vulnerabile. Se le esecuzioni toccavano cloud account, repository o registry, quei segreti restano parte del danno anche dopo la correzione del CVE.
1 fonte · 5 set
Sfruttamento noto · CISA KEV
CVSS 9.8 CRITICAL: in JetBrains TeamCity before 2026.1.3, 2025.11.7 unauthenticated remote code execution was possible via the agent…
Data di correzione federale CISA 8 ago · data superata
The Hacker News
Attackers Breached JetBrains Cadence via Unpatched TeamCity, Extracting AWS Credentials
Attackers exploited CVE-2026-63077 to breach JetBrains Cadence, accessing a 2024 backup containing credentials and user data.
originalePart of the PlainSec briefing for 2026-09-06
Every edition of this story: Il backup di Cadence allarga il danno del TeamCity zero-day