Vulnerabilità · 49 giorni fa

TeamCity trasforma un bug in controllo della delivery

L’ACSC avverte che CVE-2026-63077 è sotto sfruttamento attivo in JetBrains TeamCity On-Premises. La falla consente a chi raggiunge il server via HTTP(S) di saltare l’autenticazione ed eseguire comandi di sistema senza credenziali. JetBrains ha confermato tentativi di sfruttamento anche contro server non patchati.

Qui il problema non è solo il server esposto. TeamCity sta nel percorso di build, test e rilascio del software, quindi il controllo della console può diventare controllo su come il codice viene prodotto e distribuito. JetBrains indica la correzione in TeamCity 2025.11.7 o 2026.1.3, oppure tramite security patch plugin.

Per chi espone TeamCity su Internet, l’impatto non resta confinato alla macchina vulnerabile. Se l’istanza viene raggiunta, il rischio si estende alla catena di delivery che governa il resto dell’ambiente.

CVE-2026-63077

NVD KEV

Sfruttamento noto · CISA KEV

CVSS 9.8 CRITICAL: in JetBrains TeamCity before 2026.1.3, 2025.11.7 unauthenticated remote code execution was possible via the agent…

Data di correzione federale CISA 8 ago · data superata

Cronologia

Fonti

1 fonte che coprono questa storia

Entità

Part of the PlainSec briefing for 2026-08-26

Editions

Storie correlate