CVE-2026-63077
JetBrains TeamCity Deserialization of Untrusted Data Vulnerability
Beschreibung
CVE-2026-63077 ist eine kritische, nicht authentifizierte Remote-Code-Execution-Schwachstelle in JetBrains TeamCity, die durch unsichere Deserialisierung nicht vertrauenswürdiger Daten im Agent-Polling-Protokoll verursacht wird. TeamCity ist ein weit verbreiteter Continuous-Integration- und Build-Server, sodass ein Angreifer, der das Agent-Polling-Protokoll erreicht, ohne jegliche Zugangsdaten beliebigen Code auf dem Build-Server ausführen kann. Da die Ausnutzung weder Authentifizierung noch Privilegien oder Benutzerinteraktion erfordert und zur vollständigen Kompromittierung des Hosts führt, trägt CVE-2026-63077 einen CVSS-3.1-Wert von 9.8. Die CISA hat sie in den Known-Exploited-Vulnerabilities-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt, wodurch ein zeitnahes Upgrade von TeamCity zur dringenden Priorität wird.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| jetbrains | teamcity | < 2025.11.7; >= 2026.1, < 2026.1.3 |
Referenzen
- https://www.jetbrains.com/privacy-security/issues-fixed/(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-63077(US Government Resource)
Schwachstellentyp
CWE-502: Deserialisierung nicht vertrauenswürdiger Daten
Die Deserialisierung nicht vertrauenswürdiger Daten tritt auf, wenn eine Anwendung Objekte aus empfangenen Daten rekonstruiert, ohne ausreichend zu überprüfen, dass die Daten gültig und sicher sind, sodass ein Angreifer, der die serialisierte Eingabe kontrolliert, gefährliche Operationen auslösen kann. Bei CVE-2026-63077 deserialisiert das TeamCity-Agent-Polling-Protokoll vom Angreifer kontrollierte Daten und ermöglicht so nicht authentifizierte Remote Code Execution auf dem Server.
Mehr erfahren: CWE-502 — Deserialisierung nicht vertrauenswürdiger Daten
Auswirkungsanalyse
Die Auswirkungen von CVE-2026-63077 sind gravierend: Mit dem Angriffsvektor Netzwerk ist die Schwachstelle aus der Ferne ohne physischen Zugriff ausnutzbar, und bei niedriger Angriffskomplexität lässt sie sich ohne besondere Voraussetzungen auslösen. Es sind keine Privilegien und keine Benutzerinteraktion erforderlich, sodass ein nicht authentifizierter Angreifer, der das Agent-Polling-Protokoll erreicht, sie direkt ausnutzen kann. Die hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit bedeuten, dass der Angreifer auf dem Build-Server gespeicherte Geheimnisse lesen, Builds und Artefakte manipulieren und die CI/CD-Pipeline stören kann — ein besonders gefährliches Ergebnis angesichts der zentralen Rolle von TeamCity bei der Softwareauslieferung und seines Zugriffs auf Quellcode, Zugangsdaten und Deployment-Systeme. Eingestuft mit CVSS 9.8 (kritisch), einem EPSS-Wert von rund 11 % (95. Perzentil) und durch die CISA bestätigter aktiver Ausnutzung sollte diese Schwachstelle sofort behoben werden.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2026-63077 durch die Aufnahme in den Known-Exploited-Vulnerabilities-Katalog bestätigt, sodass Verteidiger davon ausgehen sollten, dass diese Deserialisierungslücke gegen exponierte TeamCity-Server ausgenutzt wird. Der EPSS-Wert von rund 11 % (95. Perzentil) weist im Vergleich zur breiteren Schwachstellenlandschaft auf eine hohe Wahrscheinlichkeit von Ausnutzungsaktivität hin. JetBrains hat seine Korrektur im Sicherheitshinweis des Herstellers veröffentlicht, und obwohl das KEV-Ransomware-Kennzeichen derzeit „Unknown" ist, macht die Kombination aus nicht authentifizierter Netzwerkerreichbarkeit, einem CVSS-Wert von 9.8 und bestätigter Nutzung in freier Wildbahn ein sofortiges Patchen unerlässlich. Angesichts der niedrigen Komplexität und des hohen Werts von CI/CD-Infrastruktur als Ziel ist davon auszugehen, dass funktionierende Exploit-Techniken existieren.
Behebung
- Installieren Sie die JetBrains-Korrektur umgehend. Gemäß der KEV-Handlungsanweisung der CISA sind Maßnahmen entsprechend den Anweisungen von JetBrains umzusetzen und die BOD-26-04-Vorgabe einzuhalten; kann keine Korrektur eingespielt werden, ist die Nutzung des betroffenen Servers einzustellen.
- Aktualisieren Sie TeamCity auf eine gepatchte Version — mindestens 2025.11.7 für die 2025.11-Linie oder 2026.1.3 für die 2026.1-Linie, die die Deserialisierungslücke im Agent-Polling-Protokoll beheben.
- Begrenzen Sie die Netzwerkexposition des Build-Servers, indem Sie TeamCity hinter ein VPN oder eine Firewall stellen, sodass das Agent-Polling-Protokoll nur von vertrauenswürdigen Build-Agents und Management-Netzwerken erreichbar ist und nicht aus dem offenen Internet.
- Rotieren Sie Geheimnisse und Zugangsdaten, die in TeamCity gespeichert oder von dort aus erreichbar sind (Quellcode-Verwaltungs-Token, Deployment-Schlüssel, Dienstkonten), falls Sie nicht bestätigen können, dass der Server vor dem Patchen nicht ausgenutzt wurde.
- Prüfen Sie Protokolle und auditieren Sie Builds auf Kompromittierungsindikatoren, darunter unerwartete Agent-Verbindungen, anomales Build-Verhalten sowie unautorisierte Konfigurations- oder Artefaktänderungen, und behandeln Sie einen kompromittierten Build-Server als Lieferketten-Risiko.
Technische Details
CVE-2026-63077 ist eine Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten (CWE-502) im JetBrains-TeamCity-Agent-Polling-Protokoll. Serialisierung konvertiert Objekte in ein übertragbares Format, und Deserialisierung rekonstruiert sie; werden vom Angreifer kontrollierte serialisierte Daten ohne Validierung deserialisiert, kann der Angreifer während der Rekonstruktion beliebige Objekte instanziieren oder gefährliche Operationen auslösen, was in diesem Fall Remote Code Execution ermöglicht. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H bestätigt, dass die Schwachstelle über das Netzwerk erreichbar, von niedriger Komplexität und weder Authentifizierung noch Benutzerinteraktion erforderlich ist, was bedeutet, dass ein Angreifer Codeausführung allein durch das Senden präparierter Daten an den exponierten Agent-Polling-Endpunkt erreichen kann. Deserialisierungslücken gehören durchweg zu den schwerwiegendsten, da sie regelmäßig nicht authentifizierte Codeausführung ermöglichen, und die Position von TeamCity in der Build-Pipeline vergrößert den Wirkungsradius.
Häufig gestellte Fragen
Wird CVE-2026-63077 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2026-63077 in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Wert von etwa 11 % (95. Perzentil) deutet zusätzlich auf eine hohe Wahrscheinlichkeit laufender Ausnutzungsaktivität hin, wobei ein Ransomware-Bezug derzeit unbekannt ist.
Welche Produkte sind von CVE-2026-63077 betroffen?
Die Schwachstelle betrifft JetBrains TeamCity in Versionen vor 2025.11.7 sowie die 2026.1-Linie bis ausschließlich 2026.1.3. Server, die diese Versionen mit einem erreichbaren Agent-Polling-Protokoll ausführen, sind gefährdet.
Wie behebe ich CVE-2026-63077?
Aktualisieren Sie TeamCity auf eine gepatchte Version — 2025.11.7 oder 2026.1.3 — gemäß den Vorgaben von JetBrains und der KEV-Anweisung der CISA nach BOD 26-04. Beschränken Sie bis zum Patchen den Netzwerkzugriff so, dass das Agent-Polling-Protokoll nur von vertrauenswürdigen Agents erreichbar ist, und rotieren Sie alle möglicherweise offengelegten Geheimnisse.
Wie schwerwiegend ist CVE-2026-63077?
Sie ist kritisch, mit einem CVSS-3.1-Basiswert von 9.8. Die Schwachstelle ist nicht authentifiziert, über das Netzwerk ausnutzbar, erfordert keine Benutzerinteraktion und verursacht hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit; zusammen mit einem EPSS-Wert im 95. Perzentil und ihrer Auswirkung auf CI/CD-Infrastruktur ist sie eine der am höchsten zu priorisierenden Schwachstellen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.