JetBrains a publié un avis de sécurité concernant CVE-2026-63077 TeamCity, une vulnérabilité jugée critique qui touche TeamCity On-Premises. Le problème peut être exploité pour contourner l’authentification et, dans certains scénarios, aboutir à une exécution distante de code sur le serveur.
Concrètement, un attaquant disposant d’un accès HTTPS à un serveur TeamCity pourrait tirer parti du protocole d’interrogation des agents afin d’obtenir une exécution de commandes arbitraires, avec les droits du processus exécutant TeamCity. À la date de publication de l’avis, il n’y avait pas de preuve d’exploitation active, mais le fournisseur recommande malgré tout de corriger rapidement.
Pourquoi cette faille TeamCity est particulièrement préoccupante
TeamCity est une plateforme commerciale de CI/CD (intégration et livraison continues) utilisée pour construire, tester et déployer des logiciels. Comme elle participe directement au cycle de développement, une compromission peut avoir des impacts en chaîne.
JetBrains indique qu’en cas d’exploitation réussie, un attaquant pourrait exposer des données de TeamCity, des configurations, des identifiants stockés et même compromettre des artefacts de build ainsi que des pipelines CI/CD. Les conséquences dépendent des privilèges obtenus après le contournement de l’authentification.
Le risque est d’autant plus réel que des vulnérabilités de TeamCity ont déjà été exploitées dans le passé, notamment par des groupes utilisant des ransomwares et par des acteurs soutenus par des États. C’est pourquoi JetBrains insiste sur une action immédiate de la part des administrateurs.
Qui est concerné : TeamCity On-Premises vs TeamCity Cloud
Selon JetBrains, toutes les versions de TeamCity On-Premises sont concernées par la vulnérabilité. En revanche, les clients de TeamCity Cloud n’ont pas d’action requise, car les mesures nécessaires auraient déjà été appliquées.
Autrement dit, le plan de correction et de mitigation doit se concentrer sur les instances déployées chez vous, accessibles depuis votre réseau.
Ce que permet CVE-2026-63077
JetBrains précise que l’attaque commence par un accès HTTPS au serveur TeamCity. L’attaquant peut alors contourner l’authentification via le protocole lié à l’interrogation des agents (agent polling). Une fois cette étape franchie, il devient possible d’exécuter des commandes arbitraires sur le système d’exploitation.
Le point clé est que l’exécution se fait avec les privilèges du processus serveur. Si TeamCity tourne avec des droits élevés, l’impact potentiel augmente logiquement.
Statut à la publication : pas d’exploitation observée
Au moment où l’avis a été publié (le 27 juillet), JetBrains indique qu’il n’y avait aucune preuve d’exploitation active. Cela ne réduit toutefois pas la nécessité de corriger, car l’absence de preuves à un instant donné ne garantit pas que l’exploitation ne soit pas utilisée plus tard.
Dans un contexte de menaces actives et de chaînes d’attaque automatisées, il vaut mieux considérer cette faille comme prioritaire jusqu’à preuve du contraire.
Correctifs recommandés par JetBrains
JetBrains explique que la vulnérabilité a été signalée en privé le 10 juillet et qu’elle a ensuite été corrigée dans des versions spécifiques de TeamCity.
Option prioritaire : mise à niveau
- JetBrains recommande d’upgrader vers TeamCity 2025.11.7 ou TeamCity 2026.1.3.
Alternative : plugin de sécurité
Pour les organisations qui ne peuvent pas passer immédiatement aux versions les plus récentes, une mise à jour sous forme de plugin est disponible pour TeamCity 2017.1 et versions ultérieures.
JetBrains précise également deux cas importants :
- Dans TeamCity 2024.03 et versions plus récentes, le produit télécharge automatiquement les plugins de sécurité disponibles et notifie les administrateurs afin qu’ils les installent.
- Pour les versions 2017.1 à 2018.1, un redémarrage du serveur sera nécessaire pour que les mises à jour via plugin prennent effet.
Des instructions détaillées d’installation du plugin de sécurité sont mentionnées par le fournisseur dans l’avis.
Mitigation additionnelle : limiter l’exposition réseau
Au-delà du correctif, JetBrains met en avant des bonnes pratiques plus générales pour réduire la surface d’attaque. Parmi elles : ne pas exposer TeamCity sans protection, en appliquant par exemple des couches supplémentaires comme l’accès via VPN.
Le fournisseur rappelle aussi un point souvent sous-estimé : même si seul l’accès à la page de connexion ou à une API REST est rendu accessible publiquement, cela peut constituer un point d’entrée suffisant pour exploiter une vulnérabilité nouvellement divulguée.
Autrement dit, réduire l’exposition ne remplace pas la mise à jour, mais améliore fortement votre marge de sécurité.
Plan d’action conseillé pour les administrateurs
Pour répondre rapidement à CVE-2026-63077 TeamCity, voici une approche pragmatique.
1) Identifier immédiatement vos instances
Commencez par recenser toutes vos installations TeamCity On-Premises (y compris celles accessibles depuis l’extérieur). Vérifiez la version exacte de chaque instance afin de déterminer quelle voie de correction s’applique.
2) Appliquer la mise à niveau dès que possible
Si vous pouvez planifier une mise à jour, visez 2025.11.7 ou 2026.1.3, comme recommandé par JetBrains. Cette étape est le moyen le plus direct de supprimer le risque.
3) Utiliser le plugin de sécurité en attendant
Si l’upgrade n’est pas réalisable dans l’immédiat, déployez le plugin disponible pour les versions concernées, en respectant les contraintes de redémarrage (notamment pour les versions 2017.1 à 2018.1).
4) Vérifier l’exposition réseau
Avant et après la correction, contrôlez comment TeamCity est accessible. Appliquez des protections additionnelles et évitez une exposition directe inutile, notamment sur les endpoints sensibles.
Tester la détection : un complément utile à la correction
JetBrains mentionne aussi, dans le contexte de la sécurité, que de nombreuses attaques peuvent passer inaperçues dans l’environnement. L’idée n’est pas de remplacer les correctifs, mais de renforcer la capacité de votre organisation à repérer une intrusion.
Dans cette optique, des tests d’attaque et de simulation de compromission peuvent servir à évaluer si vos règles de SIEM et de EDR détectent réellement les scénarios attendus.
En pratique : corrigez en priorité, puis confirmez que vos contrôles de détection et de réponse réagissent correctement.
Conclusion
CVE-2026-63077 TeamCity est une alerte sérieuse pour les environnements TeamCity On-Premises. La vulnérabilité permet un contournement d’authentification à partir d’un accès HTTPS et peut mener à une exécution distante de commandes avec les privilèges du serveur.
La meilleure action reste la mise à niveau vers TeamCity 2025.11.7 ou 2026.1.3. Pour les équipes contraintes par des délais, le plugin de sécurité constitue une alternative, avec des particularités de redémarrage selon la version.
Enfin, limitez l’exposition réseau et validez vos contrôles internes : même une faille corrigée doit s’accompagner d’une hygiène sécurité solide pour réduire le risque global.
