La violazione di JetBrains Cadence ha esposto credenziali AWS dopo lo sfruttamento di una RCE in TeamCity

JetBrains ha divulgato una violazione del proprio servizio di cloud computing Cadence dopo che aggressori non identificati hanno sfruttato CVE-2026-63077, una vulnerabilità critica di remote code execution in TeamCity.

L'intrusione ha interessato il server Cadence disponibile all'indirizzo api.cadence.jetbrains.com, che JetBrains ha messo offline. Gli aggressori hanno avuto accesso a un backup del server, estratto credenziali di identità AWS e raggiunto file archiviati in bucket S3 associati al servizio.

JetBrains ha individuato lo sfruttamento il 23 agosto 2026. La finestra temporale complessiva dell'intrusione è andata dall'8 al 24 agosto 2026 e ogni attività risalente all'8 agosto o successiva deve essere considerata potenzialmente sospetta.

L'azienda ha dichiarato che il server TeamCity avrebbe dovuto ricevere un aggiornamento nell'ambito del proprio processo di risposta alle vulnerabilità. Non ha spiegato perché la patch non sia stata applicata.

Un server TeamCity non aggiornato ha aperto la strada

CVE-2026-63077 è una vulnerabilità di remote code execution non autenticata nel protocollo di polling degli agent di JetBrains TeamCity. È classificata come CWE-502, deserializzazione di dati non attendibili.

Un aggressore in grado di raggiungere un server TeamCity vulnerabile può sfruttare il problema senza credenziali né interazione da parte dell'utente. Lo sfruttamento riuscito consente di eseguire comandi arbitrari sul sistema operativo con i privilegi assegnati al processo del server TeamCity.

La vulnerabilità ha un punteggio CVSS v3 pari a 9,8 e il seguente vettore:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

La valutazione riflette un attacco accessibile dalla rete, di bassa complessità, che non richiede privilegi preesistenti né alcuna azione da parte di un utente legittimo. Una compromissione riuscita può avere conseguenze elevate sulla riservatezza, l'integrità e la disponibilità.

I limiti di versione interessati riguardano due rami di rilascio di TeamCity. Le installazioni precedenti a 2025.11.7 sono vulnerabili, mentre la descrizione NVD individua come vulnerabili anche le versioni precedenti a 2026.1.3 e 2025.11.7. Gli amministratori devono quindi utilizzare la release corretta per il ramo installato, invece di considerare 2025.11.7 come limite di versione valido in assoluto.

JetBrains non ha comunicato la versione esatta di TeamCity installata sul server Cadence compromesso. Ha solo precisato che l'installazione non era aggiornata.

CISA aveva già confermato lo sfruttamento attivo

CISA ha aggiunto CVE-2026-63077 al catalogo Known Exploited Vulnerabilities il 5 agosto 2026. Il termine per la remediation previsto per le agenzie federali statunitensi era l'8 agosto 2026, lo stesso giorno in cui è iniziata la finestra temporale dell'intrusione Cadence segnalata.

L'inclusione nel catalogo KEV significa che la vulnerabilità non era semplicemente considerata sfruttabile in teoria. CISA disponeva di prove del suo sfruttamento in attacchi reali.

L'agenzia impone alle organizzazioni che rientrano nell'ambito di applicazione di adottare le misure di mitigazione del fornitore seguendo BOD 26-04, “Prioritizing Security Updates Based on Risk”, e i relativi Forensics Triage Requirements. Per i servizi cloud, le agenzie devono seguire le indicazioni applicabili di BOD 26-04 oppure interrompere l'utilizzo del prodotto quando le misure di mitigazione non sono disponibili.

CISA invita inoltre gli interessati a valutare l'esposizione a Internet di ogni asset e a verificare che l'applicazione delle patch avvenga in conformità con la direttiva vincolante. I sistemi TeamCity raggiungibili da Internet richiedono particolare attenzione, poiché CVE-2026-63077 non richiede autenticazione.

L'incidente Cadence mostra le conseguenze operative dell'esposizione di un server di questo tipo. L'esecuzione iniziale di codice su una piattaforma di sviluppo ha dato agli aggressori accesso a segreti archiviati che potevano essere utilizzati contro infrastrutture cloud e servizi esterni.

I dati del backup hanno condotto gli aggressori alle identità AWS e ai file S3

Cadence è un servizio ospitato da JetBrains che si collega a PyCharm tramite un plugin opzionale. Gli sviluppatori possono utilizzarlo per eseguire carichi di lavoro di machine learning e altri processi ad alta intensità di risorse su GPU cloud direttamente dall'IDE.

Dopo aver compromesso il server Cadence, gli aggressori hanno avuto accesso a un backup completo del server risalente al 2024. Il backup poteva contenere credenziali, segreti, informazioni di configurazione, artefatti di esecuzione o di build, log e altri dati operativi.

JetBrains ha confermato che dal backup sono stati estratti diversi utenti AWS IAM e le relative credenziali o i relativi segreti. Tra le identità interessate figuravano account appartenenti a dipendenti JetBrains che avevano utilizzato Cadence.

Gli aggressori hanno inoltre avuto accesso a file contenuti in bucket S3 presenti negli account AWS di JetBrains utilizzati dal servizio. I dati di archiviazione potenzialmente esposti possono contenere informazioni associate agli utenti Cadence attuali, tra cui:

• Nomi utente, nomi reali e indirizzi email
• Timestamp dell'ultimo accesso e indirizzi IP dell'ultimo accesso
• Codice sorgente dei progetti PyCharm
• Credenziali e dati di configurazione
• Input, output e artefatti delle esecuzioni
• Altri file caricati o sincronizzati per l'elaborazione nel cloud

Gli sviluppatori potrebbero aver trasferito più file di quelli selezionati deliberatamente per l'esecuzione. Gli alberi dei sorgenti contengono spesso file di ambiente, configurazioni di deployment, chiavi API, metadati dei repository oppure credenziali incorporate in script e notebook.

JetBrains ha dichiarato che la propria indagine non ha individuato altri utenti interessati oltre a quelli contattati direttamente. Tuttavia, sta trattando i dati conservati nello storage interessato come potenzialmente esposti.

L'azienda ha inoltre avvertito che ogni esecuzione Cadence, inclusi input e output, deve essere considerata non attendibile. Questo amplia la risposta oltre il solo tema della riservatezza: le organizzazioni devono verificare che gli artefatti prodotti nell'ambiente compromesso non siano stati alterati.

Gli indicatori puntano a sei indirizzi da cui è avvenuto lo sfruttamento

JetBrains ha associato sei indirizzi IP all'attività di sfruttamento osservata:

150.109.230.104
43.153.227.206
62.210.127.48
210.247.242.190
15.235.225.205
152.233.30.18

I difensori devono cercare questi indirizzi nei log di autenticazione, cloud, repository, endpoint e rete. Le corrispondenze sono particolarmente significative quando riguardano credenziali archiviate in Cadence o sistemi accessibili tramite tali credenziali.

L'indagine non deve basarsi esclusivamente su questo elenco. Gli aggressori possono cambiare infrastruttura, instradare il traffico attraverso altri host oppure utilizzare credenziali sottratte da luoghi non correlati.

I team devono verificare l'attività svolta durante e dopo la finestra temporale dell'intrusione, prestando attenzione a cloni e download di repository, commit o modifiche inattese a segreti e webhook. Devono essere analizzati anche i token di accesso personali, i token API, le chiavi SSH, i collaboratori, gli account di servizio creati di recente e le autorizzazioni modificate.

I log cloud devono essere controllati per individuare modifiche a ruoli IAM, policy, relazioni di trust e permessi di storage. Accessi insoliti a oggetti AWS S3 o a servizi di storage Google Cloud equivalenti possono indicare che le credenziali esposte sono state utilizzate oltre l'ambiente JetBrains.

I sistemi della software supply chain costituiscono un'altra priorità. Le organizzazioni devono cercare pubblicazioni non autorizzate di pacchetti, release modificate, immagini container alterate o cambiamenti ai flussi di build e deployment.

Gli aggressori non sono stati attribuiti a un gruppo, una campagna o un governo specifico. I loro obiettivi, oltre all'acquisizione di dati e credenziali, restano sconosciuti.

La rotazione delle credenziali deve andare oltre Cadence

JetBrains ha messo offline api.cadence.jetbrains.com e invalidato tutti i token di accesso utilizzati dal plugin Cadence in PyCharm. Queste misure bloccano il canale di connessione esistente, ma non invalidano le credenziali copiate da progetti, backup o ambienti di esecuzione.

Gli utenti e le organizzazioni interessati devono:

1. Revocare e sostituire ogni password, token, chiave API, chiave SSH, certificato e segreto archiviato in Cadence o esposto a un'esecuzione Cadence.
2. Sostituire le credenziali associate agli utenti AWS IAM e alle altre identità cloud utilizzate dal servizio.
3. Individuare i sistemi downstream accessibili con tali credenziali, inclusi repository, registry, ambienti di deployment, account cloud, database e piattaforme per i pacchetti.
4. Verificare i repository alla ricerca di accessi non autorizzati, commit, download, modifiche ai webhook, nuovi collaboratori, autorizzazioni modificate e token emessi di recente.
5. Esaminare i log di audit cloud alla ricerca di modifiche IAM, nuovi account, assunzioni insolite di ruoli, modifiche alle policy e accessi inattesi a S3.
6. Controllare i sistemi di build, pacchetti, container e release per individuare pubblicazioni o modifiche non autorizzate.
7. Convalidare gli output generati da Cadence prima di riutilizzarli o distribuirli.
8. Cercare nei sistemi collegati eventuali meccanismi di persistenza, nuovi account di servizio, relazioni di trust alterate e credenziali riutilizzate.

La rotazione deve includere anche gli accessi dipendenti. Per esempio, sostituire una chiave AWS non è sufficiente se lo stesso segreto è stato riutilizzato in un repository, una piattaforma CI/CD, un file di configurazione locale o un altro ambiente cloud.

I nomi e gli indirizzi email esposti comportano inoltre un rischio secondario. Gli aggressori potrebbero sfruttare la conoscenza dei progetti Cadence o dei flussi di lavoro JetBrains per creare messaggi di phishing mirati, impersonare amministratori o chiedere agli sviluppatori interessati di fornire credenziali sostitutive.

Il punto d'ingresso iniziale in TeamCity è stato rimosso dal servizio. La parte più difficile consiste nel determinare a quali sistemi potevano accedere le identità estratte e se gli aggressori le abbiano utilizzate prima della revoca.