Allarme critico per JetBrains TeamCity On-Premises: patch per vulnerabilità RCE senza autenticazione (CVE-2026-63077)

Introduzione

Il 29 luglio 2026 JetBrains ha rilasciato un bollettino di sicurezza urgente per tutte le versioni on-premises di TeamCity, il noto server di integrazione continua. La vulnerabilità, tracciata come CVE-2026-63077 e valutata con un punteggio CVSS di 9.8 (critico), consente l’esecuzione di codice in remoto senza alcuna autenticazione. Il ricercatore Antoni Tremblay ha segnalato il problema il 10 luglio 2026 e al momento non risultano exploit pubblici né tentativi di sfruttamento attivo. Le istanze TeamCity Cloud sono già state aggiornate.

Analisi tecnica

La falla risiede nella logica del protocollo di polling utilizzato dagli agenti di build per comunicare con il server. In condizioni predefinite, questo meccanismo non applica verifiche sufficienti sulle richieste in ingresso, permettendo a un attaccante non autenticato – purché in grado di raggiungere il server via HTTP(S) – di invocare endpoint interni. Sfruttando tale lacuna, è possibile eludere i controlli di autenticazione e inoltrare comandi arbitrari che vengono eseguiti con i privilegi del processo TeamCity a livello di sistema operativo.

Impatto

Un aggressore che comprometta un server TeamCity On-Premises può ottenere il controllo completo del processo, esponendo dati sensibili quali codice sorgente, configurazioni di build, credenziali memorizzate nelle variabili d’ambiente e chiavi API. Inoltre, potrebbe alterare lo stato del server, modificare pipeline di distribuzione e, nei casi più gravi, muoversi lateralmente all’interno della rete aziendale. La facilità di sfruttamento (nessuna autenticazione richiesta) rende la vulnerabilità particolarmente pericolosa per le organizzazioni che espongono il servizio su reti pubbliche.

Mitigazione

JetBrains raccomanda l’aggiornamento immediato alle versioni corrette:

• TeamCity 2025.11.7
• TeamCity 2026.1.3

Per gli ambienti che non possono applicare subito l’upgrade, è disponibile un security patch plugin compatibile con le versioni 2017.1 e successive. Questa soluzione corregge esclusivamente la CVE-2026-63077 e non include altre migliorie di sicurezza: va considerata una misura temporanea.

Buone pratiche aggiuntive:

• Limitare l’accesso ai server TeamCity tramite VPN o firewall;
• Attivare l’autenticazione a più fattori per tutti gli account;
• Non esporre su Internet la schermata di login o le API REST del server;
• Monitorare i log per attività anomale riconducibili all’agent polling.

FAQ

1. Che cos’è la vulnerabilità CVE-2026-63077? È una falla critica (CVSS 9.8) nel protocollo di polling degli agenti di TeamCity On-Premises. Permette a un attaccante senza credenziali di eseguire comandi arbitrari sul server, ottenendo il controllo del processo TeamCity e potenzialmente dell’intero host.

2. Quali versioni di TeamCity sono interessate? Tutte le installazioni on-premises precedenti alle release 2025.11.7 e 2026.1.3. Le versioni 2017.1 e successive possono ricevere una patch provvisoria tramite il security patch plugin di JetBrains. TeamCity Cloud non è a rischio perché aggiornato centralmente.

3. Come posso verificare se sono già stato compromesso? Al momento non ci sono evidenze di attacchi attivi che sfruttino questa vulnerabilità. Tuttavia JetBrains consiglia di esaminare i log del server per richieste sospette sugli endpoint di polling degli agenti e di eseguire una scansione antivirus sugli host critici, aggiornando poi immediatamente il software.