Kritischer Alarm für JetBrains TeamCity On-Premises: Patch für nicht authentifizierte RCE-Schwachstelle (CVE-2026-63077)

Einleitung

Am 29. Juli 2026 veröffentlichte JetBrains ein dringendes Sicherheitsbulletin für alle On-Premises-Versionen von TeamCity, dem bekannten Continuous-Integration-Server. Die als CVE-2026-63077 verfolgte und mit einem CVSS-Score von 9,8 (kritisch) bewertete Schwachstelle ermöglicht die Remote Code Execution ohne jegliche Authentifizierung. Der Forscher Antoni Tremblay meldete das Problem am 10. Juli 2026; derzeit gibt es keine öffentlichen Exploits oder aktive Angriffsversuche. TeamCity Cloud-Instanzen wurden bereits aktualisiert.

Technische Analyse

Die Schwachstelle liegt in der Logik des Polling-Protokolls, das von den Build-Agenten zur Kommunikation mit dem Server verwendet wird. In der Standardkonfiguration führt dieser Mechanismus keine ausreichenden Prüfungen bei eingehenden Anfragen durch, sodass ein nicht authentifizierter Angreifer – sofern er den Server per HTTP(S) erreichen kann – interne Endpunkte aufrufen kann. Durch Ausnutzung dieser Lücke lassen sich Authentifizierungsprüfungen umgehen und beliebige Befehle ausführen, die mit den Rechten des TeamCity-Prozesses auf Betriebssystemebene laufen.

Auswirkungen

Ein Angreifer, der einen On-Premises-TeamCity-Server kompromittiert, kann die vollständige Kontrolle über den Prozess erlangen und sensible Daten wie Quellcode, Build-Konfigurationen, in Umgebungsvariablen gespeicherte Anmeldeinformationen und API-Schlüssel offenlegen. Zudem könnte er den Serverzustand verändern, Deployment-Pipelines manipulieren und sich in besonders schweren Fällen lateral im Unternehmensnetzwerk bewegen. Die leichte Ausnutzbarkeit (keine Authentifizierung erforderlich) macht die Schwachstelle besonders gefährlich für Unternehmen, die den Dienst in öffentlichen Netzwerken bereitstellen.

Gegenmaßnahmen

JetBrains empfiehlt die sofortige Aktualisierung auf die bereinigten Versionen:

• TeamCity 2025.11.7
• TeamCity 2026.1.3

Für Umgebungen, die das Upgrade nicht sofort durchführen können, ist ein Security Patch Plugin verfügbar, das mit Versionen ab 2017.1 kompatibel ist. Diese Lösung behebt ausschließlich CVE-2026-63077 und enthält keine weiteren Sicherheitsverbesserungen – sie ist daher nur als Übergangslösung zu betrachten.

Weitere bewährte Praktiken:

• Den Zugriff auf TeamCity-Server per VPN oder Firewall einschränken;
• Multi-Faktor-Authentifizierung für alle Konten aktivieren;
• Die Anmeldebildschirm oder die REST-APIs des Servers nicht im Internet zugänglich machen;
• Protokolle auf anomale Aktivitäten im Zusammenhang mit dem Agent Polling überwachen.

FAQ

1. Was ist die Schwachstelle CVE-2026-63077? Es handelt sich um eine kritische Schwachstelle (CVSS 9,8) im Polling-Protokoll der Build-Agenten von TeamCity On-Premises. Sie ermöglicht einem Angreifer ohne Anmeldeinformationen, beliebige Befehle auf dem Server auszuführen, die Kontrolle über den TeamCity-Prozess und potenziell den gesamten Host zu übernehmen.

2. Welche Versionen von TeamCity sind betroffen? Alle On-Premises-Installationen vor den Versionen 2025.11.7 und 2026.1.3. Versionen ab 2017.1 können über das Security Patch Plugin von JetBrains einen vorübergehenden Fix erhalten. TeamCity Cloud ist nicht gefährdet, da es zentral aktualisiert wird.

3. Wie kann ich überprüfen, ob ich bereits kompromittiert wurde? Derzeit gibt es keine Hinweise auf aktive Angriffe, die diese Schwachstelle ausnutzen. Dennoch empfiehlt JetBrains, die Server-Logs auf verdächtige Anfragen an die Agent-Polling-Endpunkte zu überprüfen und eine Virenprüfung auf kritischen Hosts durchzuführen. Anschließend sollte die Software umgehend aktualisiert werden.