JetBrains hat in dieser Woche Patches für eine kritische Sicherheitslücke in TeamCity On-Premises bereitgestellt. Laut Hersteller lässt sich die Schwachstelle ohne Authentifizierung über HTTP/S ausnutzen und führt potenziell zu Remote Code Execution (RCE). Damit steigt das Risiko, dass Angreifer Systeme und CI/CD-Prozesse gezielt kompromittieren.
Im Folgenden erfahren Sie, was genau bekannt ist, warum die Lücke besonders kritisch ist und welche Schritte Sie jetzt umsetzen sollten, um Ihre TeamCity-Instanz und nachgelagerte Pipelines zu schützen.
Was ist die TeamCity kritische Lücke?
Die Lücke trägt die Kennung CVE-2026-63077 und erreicht laut JetBrains einen CVSS-Score von 9,8, bewertet als kritisch. Entscheidend ist: Ein Angreifer muss sich dafür nicht erst anmelden. Stattdessen kann die Schwachstelle laut Advisory über den TeamCity-„Agent Polling“-Mechanismus genutzt werden.
JetBrains beschreibt das Szenario so, dass ein nicht authentifizierter Angreifer Authentifizierungsprüfungen umgehen kann. Anschließend kann er beliebige Kommandos auf dem Betriebssystem ausführen – mit den Rechten, die dem TeamCity-Serverprozess zugewiesen sind.
Wie funktioniert die Ausnutzung und warum ist sie so gefährlich?
Die Schwachstelle kann aus der Ferne über HTTP/S angegriffen werden. Das bedeutet in der Praxis: Wenn Ihre TeamCity-Instanz erreichbar ist (zum Beispiel im Internet oder über schlecht abgesicherte Zugänge), steigt die Angriffsfläche deutlich.
Ein besonders problematischer Faktor ist die Reichweite der möglichen Folgeeffekte. Je nachdem, welche Berechtigungen der TeamCity-Serverprozess besitzt, kann ein Angreifer unter anderem:
- TeamCity-Daten, Konfigurationen und Credentials einsehen oder nutzen,
- den Serverzustand verändern,
- Build-Artefakte beeinflussen und damit nachgelagerte CI/CD-Pipelines gefährden.
Gerade im CI/CD-Kontext sind kompromittierte Artefakte ein Kernrisiko: Sie können die Basis für weitere Deployments bilden und so eine Kette von Auswirkungen auslösen.
Betroffene Versionen: TeamCity On-Premises
JetBrains teilt mit, dass die Schwachstelle alle TeamCity On-Premises-Versionen betrifft. Für Betreiber heißt das: Unabhängig davon, wie lange die Installation bereits läuft oder welche Ausprägung der Umgebung vorliegt, sollte die Aktualisierung bzw. das Schließen der Lücke als Priorität behandelt werden.
Für TeamCity Cloud gibt es bereits mitigierende Maßnahmen. Zudem gibt der Hersteller an, dass keine Hinweise vorliegen, dass die Lücke in freier Wildbahn ausgenutzt wurde.
Welche Fixes hat JetBrains veröffentlicht?
JetBrains nennt konkrete Versionen, in denen ein Fix enthalten ist. Dazu gehören:
- 2025.11.7
- 2026.1.3
Wenn ein Upgrade nicht zeitnah möglich ist, bietet JetBrains außerdem eine Security Patch Plugin-Lösung für 2017.1+. Wichtig dabei: Das Plugin ist laut JetBrains nur für genau diese CVE gedacht und löst ausschließlich diese konkrete Schwachstelle.
Betreiber sollten deshalb nicht abwarten, sondern entweder die neueste TeamCity-Version installieren oder das passende Security Patch Plugin zeitnah anwenden.
So patchen Sie schnell und richtig
Aus organisatorischer Sicht hilft eine klare Reihenfolge. Gehen Sie dabei in der Regel so vor:
- Bestandsaufnahme: Prüfen Sie Ihre installierte TeamCity On-Premises-Version.
- Upgrade planen: Planen Sie eine Aktualisierung auf 2025.11.7 oder 2026.1.3.
- Alternative nutzen: Falls ein Upgrade kurzfristig nicht möglich ist, installieren Sie das Security Patch Plugin für 2017.1+.
- Rechte prüfen: Bewerten Sie, welche Systemrechte der TeamCity-Serverprozess besitzt, um das Schadenspotenzial im Ernstfall zu minimieren.
Der wichtigste Punkt: Das Plugin ersetzt kein Upgrade im Sinne einer vollständigen Aktualisierungsstrategie, sondern adressiert die CVE gezielt. Trotzdem kann es für Übergangszeiträume ein entscheidender Schritt sein.
Zusätzliche Schutzmaßnahmen neben dem Patch
Neben dem Fix empfiehlt JetBrains weitere Schritte, um das Risiko für den Betrieb zu reduzieren. Diese Maßnahmen sind vor allem dann relevant, wenn nicht sofort gepatcht werden kann oder wenn Sie die Angriffsfläche insgesamt verringern möchten.
TeamCity nicht unnötig ins Internet öffnen
JetBrains rät dazu, den Zugriff auf internet-facing TeamCity-Server einzuschränken. Wenn eine direkte Veröffentlichung nötig ist, sollten Sie besonders konsequent vorgehen, um unautorisierte Zugriffe zu verhindern.
Minimalprinzip bei Betriebssystemrechten
Ein weiterer Schwerpunkt liegt auf dem Minimum Required Operating System Privileges-Prinzip: Starten Sie alle Serverprozesse mit den geringstmöglichen Berechtigungen. So begrenzen Sie im Worst Case die Auswirkungen einer möglichen Kompromittierung.
VPN und zusätzliche Schutzschichten
Für den Netzwerkzugang nennt JetBrains VPN-Verbindungen oder zusätzliche Schutzmechanismen, um unautorisierte Zugriffe zu blockieren bzw. nachzuvollziehen. Ziel ist, dass nur berechtigte Systeme und Personen die TeamCity-Instanz erreichen.
Server getrennt von Build Agents betreiben
Außerdem empfiehlt der Hersteller, TeamCity-Server auf dedizierten Hosts zu betreiben – getrennt von Build Agents. Diese Trennung reduziert das Risiko, dass sich Probleme aus einem Bereich auf andere Komponenten ausweiten.
Hat JetBrains Hinweise auf aktive Angriffe?
JetBrains gibt an, dass es keine Belege dafür gibt, dass die Schwachstelle bereits in der Praxis ausgenutzt wurde. Auch wenn das beruhigt, ändert das nichts an der Dringlichkeit: Durch die Kombination aus unauthentifizierbarem Zugriff und RCE-Fähigkeit ist die Lücke in ihrer Natur ein klarer Notfallkandidat.
Fazit: TeamCity kritische Lücke jetzt beheben
Die von JetBrains geschlossene TeamCity kritische Lücke (CVE-2026-63077) stellt eine ernstzunehmende Gefahr dar: Ein Angreifer kann ohne Anmeldung Authentifizierung umgehen und über HTTP/S Remote Code Execution erreichen. Je nach Rechten kann das bis hin zu Datenabfluss, Manipulation am Serverzustand und kompromittierten Build-Artefakten führen.
Setzen Sie daher Priorität auf das Update: Installieren Sie entweder 2025.11.7 oder 2026.1.3. Falls ein Upgrade nicht sofort möglich ist, nutzen Sie das Security Patch Plugin für 2017.1+ – als gezielte Maßnahme gegen genau diese CVE. Ergänzen Sie das Patch mit harten Zugriffsbeschränkungen, minimalen Systemrechten, VPN oder zusätzlichen Schutzschichten sowie einer sauberen Trennung von TeamCity-Server und Build Agents.
Quelle: https://www.securityweek.com/critical-code-execution-vulnerability-patched-in-teamcity/
