JetBrains hat eine kritische Schwachstelle in TeamCity On-Premises öffentlich gemacht, die zu Remote Code Execution führen kann. Im Kern geht es um TeamCity Remote Code Execution durch eine Authentifizierungsumgehung, die Angreifern mit Zugriff per HTTPS das Ausführen beliebiger Befehlszeilen auf dem Server ermöglichen kann. Da TeamCity häufig als CI/CD-Knotenpunkt dient, kann ein erfolgreicher Angriff nicht nur Daten gefährden, sondern auch Build-Pipelines und Artefakte kompromittieren.
Zum Zeitpunkt der Veröffentlichung gab es laut JetBrains keine Hinweise auf aktive Ausnutzung. Dennoch gilt: Gerade TeamCity-Fehler wurden in der Vergangenheit wiederholt missbraucht. Administrierende Teams sollten deshalb zügig reagieren und die empfohlenen Schritte umsetzen.
Was ist die Schwachstelle CVE-2026-63077?
Die Sicherheitslücke ist unter CVE-2026-63077 erfasst und betrifft die Agent-Polling-Logik des TeamCity-Systems. Angreifer benötigen dafür HTTPS-Zugriff auf einen TeamCity-Server, um die Authentifizierung zu umgehen. Anschließend kann es zu Remote Code Execution kommen: Der Angreifer wäre in der Lage, beliebige Betriebssystembefehle auszuführen – mit den Berechtigungen des Prozesskontos, mit dem die TeamCity-Instanz läuft.
Damit ist die Tragweite erheblich: Selbst wenn nur ein Teil der Infrastruktur erreichbar ist, kann ein Angreifer über den Serverzugriff weitere Schritte im Zielumfeld anstoßen.
Welche TeamCity-Umgebungen sind betroffen?
JetBrains stellt klar, dass alle Versionen von TeamCity On-Premises von dem Problem betroffen sind. Für Organisationen ist das besonders relevant, weil On-Premises-Installationen häufig zentrale Rollen in der Softwarelieferkette übernehmen.
Für TeamCity Cloud besteht nach Angaben des Herstellers kein Handlungsbedarf. Die erforderlichen Schutzmaßnahmen seien bereits umgesetzt.
Warum ist Remote Code Execution über TeamCity so riskant?
TeamCity wird als Continuous Integration– und Continuous Delivery-Server genutzt. Typische Aufgaben sind das Erstellen, Testen und Bereitstellen von Software. Wenn ein Angreifer die Kontrolle über den TeamCity-Server erlangt, kann er potenziell:
- Daten und Konfigurationen innerhalb der Plattform einsehen oder verändern
- gespeicherte Credentials kompromittieren
- Build-Artefakte manipulieren
- CI/CD- Pipelines so beeinflussen, dass bösartige Inhalte in nachgelagerte Schritte gelangen
Welche Auswirkungen konkret auftreten, hängt von den Rechten ab, die der TeamCity-Prozess im jeweiligen System besitzt. Je stärker die Berechtigungen, desto größer das mögliche Schadensprofil.
Angriffsszenario: Authentifizierungsumgehung und Befehlsausführung
Nach dem Advisory kann die Schwachstelle ausgenutzt werden, sobald ein Angreifer HTTPS-Zugriff auf den TeamCity-Server hat. Über den Agent Polling Protocol kann die Authentifizierung umgangen werden. Im Anschluss lassen sich beliebige Betriebssystemkommandos ausführen.
Wichtig für die Risikoeinschätzung: Schon die Annäherung an die Angriffsfläche reicht in vielen Fällen aus, um das weitere Vorgehen zu ermöglichen. Deshalb hebt JetBrains auch hervor, dass selbst das reine Bereitstellen einer Login-Seite oder einer REST API einen Angreifbarkeitspunkt darstellen kann.
Empfohlene Sofortmaßnahmen: Updates und Sicherheits-Plugins
JetBrains empfiehlt primär ein Upgrade auf die Versionen, in denen die Lücke behoben wurde. Die Schwachstelle wurde dem Hersteller zufolge privat am 10. Juli gemeldet und anschließend in den folgenden Releases adressiert:
- TeamCity 2025.11.7
- TeamCity 2026.1.3
Wenn ein Upgrade auf diese Versionen derzeit möglich ist, sollte es als erste Option umgesetzt werden.
Alternative: Security Patch als Plugin für ältere Versionen
Für Kundinnen und Kunden, die nicht auf die aktuellsten Releases upgraden können, stellt JetBrains außerdem ein Security-Patch als Plugin bereit. Dieses Patch-Plugin gilt für TeamCity 2017.1+.
Ein weiterer Punkt erleichtert die Praxis: JetBrains weist darauf hin, dass TeamCity Version 2024.03 und neuer verfügbare Security-Plugins automatisch herunterlädt und Administratoren benachrichtigt. Dadurch lässt sich der Prozess zur Installation und Aktivierung beschleunigen.
Für bestimmte ältere Versionen gilt jedoch eine Besonderheit: TeamCity 2017.1 bis 2018.1 benötigt nach dem Installieren des Plugin-Patches einen Server-Neustart, damit die Sicherheitsänderungen wirksam werden.
Die detaillierten Installationsanweisungen stellt JetBrains im Kontext der Veröffentlichung bereit, und Administrierende sollten diese Schritt für Schritt übernehmen, statt eigene Workarounds zu nutzen.
Schutz durch Best Practices: Reduzieren Sie die Angriffsfläche
Neben dem Patchen rät JetBrains zu allgemeineren Sicherheitspraktiken, um internetexponierte TeamCity-Systeme stärker abzusichern. Ein zentraler Ansatz ist, den Zugriff zu begrenzen, etwa durch:
- VPN-Zugang oder andere zusätzliche Schutzebenen
- Strikte Netzwerksegmentierung, damit nicht jeder externe Client direkt auf die Oberfläche zugreifen kann
Das Ziel ist dabei nicht nur, den Zugriff zu erschweren, sondern Angriffe früh zu bremsen, bevor Schwachstellen überhaupt genutzt werden können.
JetBrains betont außerdem: Selbst wenn Angreifer nicht sofort Adminrechte haben, können schon exponierte Schnittstellen wie die Login-Seite oder die REST API als Startpunkt dienen. Deshalb sollte die Außenanbindung kritisch geprüft werden.
Warum Sie nicht nur „erkennen“, sondern auch „testen“ sollten
Viele Organisationen verlassen sich auf Erkennung und Alarmierung. Allerdings zeigt der Kontext aus dem bereitgestellten Material, dass ein Teil erfolgreicher Angriffe unbemerkt bleibt. Häufig sind zwar einige Telemetriedaten vorhanden, doch die Abdeckung der relevanten Signale ist nicht immer ausreichend.
Die Empfehlung daraus: Sicherheitskontrollen sollten nicht nur vorhanden sein, sondern regelmäßig überprüft werden. Ein sinnvoller Weg ist, Breach- und Attack-Simulationstests gegen SIEM- und EDR-Regeln durchzuführen, um festzustellen, ob Bedrohungen wirklich erkannt werden oder ungehindert durchrutschen.
So schaffen Sie eine zusätzliche Sicherheitsschicht, die unabhängig davon wirkt, wie gut ein einzelnes Regelwerk „theoretisch“ passt.
Handlungsplan für Teams in der Praxis
Wenn Sie TeamCity On-Premises betreiben, können Sie die folgenden Schritte als Orientierung nutzen:
- Betroffenheit prüfen: On-Premises-Versionen gelten als betroffen; Cloud-Kunden sind laut JetBrains ausgenommen.
- Upgrade planen: Priorisieren Sie TeamCity 2025.11.7 oder 2026.1.3, sofern möglich.
- Fallback nutzen: Wenn kein Upgrade machbar ist, installieren Sie das Security-Patch-Plugin für 2017.1+.
- Neustart berücksichtigen: Für Versionen 2017.1–2018.1 ist nach der Plugin-Installation ein Server-Reboot erforderlich.
- Netzwerkabsicherung: Minimieren Sie die öffentliche Exponierung, z. B. über VPN oder zusätzliche Schutzebenen.
- Erkennung testen: Prüfen Sie, ob SIEM/EDR-Regeln tatsächlich Alarme auslösen, wenn Angriffe erfolgreich sind.
Je konsequenter Sie diesen Plan umsetzen, desto geringer ist die Wahrscheinlichkeit, dass aus einer publizierten Schwachstelle ein realer Sicherheitsvorfall wird.
Fazit: TeamCity Remote Code Execution zeitnah entschärfen
Die Meldung zu TeamCity Remote Code Execution über CVE-2026-63077 ist ein klares Warnsignal für alle, die TeamCity On-Premises einsetzen. Da die Lücke eine Authentifizierungsumgehung ermöglicht und anschließend Befehle auf dem Betriebssystem ausführen kann, sollten Updates und Schutzmaßnahmen sofort priorisiert werden.
Setzen Sie auf die von JetBrains empfohlenen Versionen oder das passende Security-Plugin, planen Sie bei Bedarf den Neustart und reduzieren Sie die Angriffsfläche durch zusätzliche Zugriffskontrollen. So halten Sie die CI/CD-Pipeline stabil und schützen Ihre Softwarelieferkette vor unnötigen Risiken.
