CISA hat am 5. August 2026 die Schwachstelle CVE-2026-63077 in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen und damit ihre aktive Ausnutzung bestätigt. Die Schwachstelle betrifft lokale (on-premise) Versionen von JetBrains TeamCity – einer der am weitesten verbreiteten Plattformen für kontinuierliche Integration und Auslieferung. Mit einem CVSS-Score von 9,8 von 10 ermöglicht diese Lücke einem nicht authentifizierten Angreifer, beliebige Betriebssystembefehle auf dem TeamCity-Server auszuführen. US-Bundesbehörden sind verpflichtet, die Schwachstelle bis zum 8. August 2026 zu beseitigen, doch ein sofortiges Update wird allen Organisationen empfohlen, die on-premise TeamCity einsetzen.
Technischer Kern der Schwachstelle
CVE-2026-63077 gehört zur Klasse der Schwachstellen durch Deserialisierung nicht vertrauenswürdiger Daten (CWE-502). Laut der CISA-Beschreibung im KEV-Katalog ermöglicht die Schwachstelle eine nicht authentifizierte Remote-Code-Ausführung über das TeamCity-Agentenabfrageprotokoll (agent polling protocol).
Der Angriffsvektor verdient besondere Aufmerksamkeit. Das Protokoll zur Abfrage von Agents – das agent polling protocol – ist ein interner Mechanismus, über den Build-Agents von TeamCity mit dem zentralen Server kommunizieren. Die Ausnutzung dieses Protokolls bedeutet, dass der Angreifer weder ein Benutzerkonto noch Zugriff auf das Web-Interface von TeamCity benötigt. Es genügt, wenn er aus dem Netzwerk auf den Server über den entsprechenden Port zugreifen kann, um speziell präparierte Daten zu senden, die der Server ohne ausreichende Validierung deserialisiert.
Die wichtigsten Merkmale der Schwachstelle:
- CVE ID: CVE-2026-63077
- Typ: Deserialisierung nicht vertrauenswürdiger Daten
- CVSS-Bewertung: 9,8 (kritisch)
- Authentifizierung: nicht erforderlich
- Vektor: TeamCity-Agentenabfrageprotokoll
- Status der Ausnutzung: aktive Ausnutzung in realen Angriffen bestätigt
Umfang der potenziellen Auswirkungen
Die Folgen einer erfolgreichen Ausnutzung hängen von den Rechten ab, mit denen der TeamCity-Serverprozess ausgeführt wird. Nach Angaben von JetBrains kann ein Angreifer:
- Zugriff auf TeamCity-Daten, Konfigurationen und gespeicherte Zugangsdaten erlangen
- den Zustand des Servers verändern
- die Integrität von Build-Artefakten kompromittieren
- nachgelagerte CI/CD-Pipelines stören
Der letzte Punkt stellt die größte strategische Bedrohung dar. Als zentrales Element der CI/CD-Infrastruktur speichert TeamCity geheime Zugangsdaten für den Zugriff auf Code-Repositories, Container-Register, Cloud-Umgebungen und Produktivserver. Die Kompromittierung von TeamCity ist daher nicht nur der Einbruch in einen einzelnen Server, sondern potenziell ein Einstiegspunkt für einen Angriff auf die Software-Lieferkette. Ein Angreifer, der die Kontrolle über den Build-Server erlangt hat, kann Schadcode in Artefakte einschleusen, die anschließend automatisch in Produktivumgebungen ausgerollt werden.
Die in TeamCity gespeicherten Zugangsdaten – Zugangstokens für Git-Repositories, API-Schlüssel von Cloud-Providern, Datenbankpasswörter – eröffnen bei einer Offenlegung Möglichkeiten für laterale Bewegung in der gesamten Infrastruktur der Organisation.
Unbekannte Faktoren
Zum Zeitpunkt der Veröffentlichung ist weiterhin unklar, auf welche konkrete Weise die Schwachstelle in realen Angriffen ausgenutzt wird, welche Gruppen hinter dieser Aktivität stehen und welches Ausmaß sie hat. JetBrains hat Berichten zufolge sein Security Advisory bislang noch nicht aktualisiert, um die aktive Ausnutzung zu bestätigen. Das Fehlen öffentlicher Indikatoren einer Kompromittierung (IoC) erschwert die retrospektive Suche nach Angriffsspuren in der Infrastruktur.
Es ist anzumerken, dass TeamCity bereits in der Vergangenheit Ziel schwerwiegender Angriffe war. Frühere kritische Schwachstellen in diesem Produkt haben sowohl finanziell motivierte Gruppen als auch APT-Akteure angezogen, was die aktuelle Situation besonders besorgniserregend macht.
Empfehlungen zur Reaktion
Angesichts der bestätigten aktiven Ausnutzung und der kritischen CVSS-Bewertung von 9,8 hat die Reaktion maximale Priorität.
- Aktualisieren Sie umgehend Ihre on-premise-Installation von TeamCity auf die neueste Version mit dem Fix für CVE-2026-63077. Verschieben Sie dies nicht auf ein reguläres Wartungsfenster.
- Beschränken Sie den Netzwerkzugang zu den Ports des TeamCity-Agentenabfrageprotokolls. Der Zugriff auf diese Ports sollte ausschließlich von IP-Adressen legitimer Build-Agents erlaubt sein.
- Führen Sie ein Audit der gespeicherten Secrets durch. Falls der TeamCity-Server aus dem Internet oder aus unsicheren Netzsegmenten erreichbar war, betrachten Sie sämtliche dort gespeicherten Zugangsdaten als potenziell kompromittiert und führen Sie ihre Rotation durch.
- Überprüfen Sie die Protokolle des TeamCity-Servers auf ungewöhnliche Verbindungen über das Agentenabfrageprotokoll, insbesondere von untypischen IP-Adressen.
- Überprüfen Sie die Integrität der Build-Artefakte und Build-Konfigurationen der vergangenen Wochen – suchen Sie nach nicht autorisierten Änderungen.
- Isolieren Sie den TeamCity-Server von direktem Zugriff aus dem Internet, falls dies noch nicht geschehen ist. Nutzen Sie VPN oder Netzsegmentierung.
Für US-Bundesbehörden gilt eine verbindliche Vorgabe: Gemäß der Binding Operational Directive 26-04 muss die Schwachstelle bis zum 8. August 2026 behoben werden.
CVE-2026-63077 ist eine Schwachstelle, die drei gefährliche Faktoren kombiniert: nicht authentifizierter Zugriff, Ausführung beliebigen Codes und die strategische Rolle von TeamCity im Zentrum der CI/CD-Infrastruktur. Organisationen mit on-premise TeamCity müssen das Update innerhalb der nächsten Stunden einspielen, den Netzwerkzugriff auf den Server einschränken und alle in TeamCity gespeicherten Secrets rotieren, sofern der Server aus nicht vertrauenswürdigen Netzen erreichbar war.
