Rapid7 beschreibt kritische Schwachstelle in TeamCity, die bereits ausgenutzt wird, und CISA setzt fristgerechten Termin

Rapid7 hat am Montag seine technische Analyse der CVE-2026-63077 aktualisiert, einer kritischen Schwachstelle für unautorisierte Remote-Code-Ausführung in JetBrains TeamCity On-Premises, nur wenige Tage nachdem die CISA sie in das Verzeichnis aktiv ausgenutzter Schwachstellen aufgenommen hat. Die CVSS-Bewertung liegt bei 9,8, und der Vektor ist äußerst gefährlich. Jeder Angreifer mit HTTP- oder HTTPS-Zugriff auf den Server kann Betriebssystemkommandos mit den Rechten des TeamCity-Prozesses ausführen, ohne Anmeldeinformationen zu benötigen.

TeamCity ist eine der am weitesten verbreiteten CI/CD-Plattformen für mittelgroße und große Ingenieurteams, mit Zehntausenden von Servern, die laut öffentlichen Aufzeichnungen von Shodan im Internet exponiert sind. Ein kompromittierter Server ist ein idealer Dreh- und Angelpunkt. Er gelangt direkt in die Pipeline, mit Zugriff auf Geheimnisse, Cloud-Anmeldeinformationen, Deploy-Tokens und Quellcode. Ransomware-Gruppen, die nach einer Kompromittierung der Lieferkette suchen, nutzen häufig genau solche Vektoren.

Die Wurzel des Problems

Laut Rapid7 Labs erstellt die anfällige Version von TeamCity eine Allowlist von XStream, um einzuschränken, welche Java-Klassen deserialisiert werden dürfen, wenn der Server nicht authentifizierte Agentenanforderungen verarbeitet. Der Fehler beruht auf einer Unterlassung. Der Entwickler hat die Klassen des TeamCity-Protokolls zur Liste hinzugefügt, aber nicht die Standardberechtigungen von XStream entfernt, die bereits eine große Fläche abdecken. Der richtige Patch fügt NoTypePermission.NONE vor der Allowlist hinzu, was die Liste exklusiv macht. Rapid7 hat in Benchmarks bestätigt, dass die Korrektur den Vektor behebt.

JetBrains gab die Schwachstelle am 27. Juli bekannt und veröffentlichte am selben Tag korrigierte Builds: TeamCity 2026.1.3 (Build 222742) und TeamCity 2025.11.7 (Build 208264). Für Server, die nicht sofort aktualisiert werden können, bietet das Unternehmen ein Security-Patch-Plugin an, das seit 2017.1 betroffene Versionen abdeckt. CISA fügte die CVE am 5. August zu KEV hinzu und setzte eine Frist von drei Tagen für Bundesbehörden zur Anwendung des Patches, mit einer Frist, die am 8. August ablief.

Wo die Exposition schadet

In den USA stehen Bundesbehörden, die TeamCity in den Umgebungen von Auftragnehmern einsetzen, unter direkter Druck der CISA. Die Audits, die die Agentur nach der Aufnahme in KEV durchführt, sind dafür bekannt, öffentliches Peinlichkeitsgefühl zu erzeugen, und Auftragnehmer im Verteidigungsbereich müssen die Behebung innerhalb eines engen Zeitrahmens dokumentieren oder riskieren, die Erlaubnis zur Tätigkeit zu verlieren.

In Europa ist die Lage weniger gedrängt. JetBrains, mit Sitz in Prag, hat eine Installationsbasis, die sich konzentriert auf Deutschland, Tschechien, Polen und das Vereinigte Königreich, wo Banken und Telekommunikationsunternehmen TeamCity zur Orchestrierung von Deployment-Pipelines nutzen. Bis zum Abschluss dieses Berichts hat sich keine Organisation öffentlich zu der Exposition geäußert, was der Standard für Vorfälle dieser Art ist, während die Reaktionsgruppen weiterhin untersuchen. Es gibt auch keine veröffentlichten Beweise für eine Kompromittierung bestimmter Namen, nur die Bestätigung einer aktiven, massenhaften Ausnutzung durch die CISA.

Was zu tun ist, wenn Sie TeamCity betreiben

Engineering-Teams sollten das Update als Sev-1-Vorfall behandeln, nicht als geplantes Wartungsfenster. Die richtige Reihenfolge ist: Aktualisieren auf 2026.1.3 oder 2025.11.7 oder Anwendung des Security-Patch-Plugins; Rotierung aller im TeamCity gespeicherten Geheimnisse, einschließlich Cloud-Token, SSH-Schlüssel, Registrierungsanmeldeinformationen und API-Schlüssel; Überprüfung der Protokolle auf Anforderungen an den Agenten-Endpunkt vor dem Patch; und für Server, die dem Internet ausgesetzt sind, Überprüfung auf Persistenzzeichen wie ungewöhnliche Cron-Jobs, neue Container und verdächtige ausgehende Verbindungen.

In Brasilien haben globale Integratoren und Banken, die CI-Pipelines für das Kernbanking betreiben, eine typische Exposition: TeamCity in einem internen Netzwerk, ohne direkte Internetexposition, aber mit privilegierten Zugängen zu Produktionsumgebungen. Das Risiko für diese Operationen liegt weniger in der öffentlichen Exposition und mehr in lateralem Movement. Ein Angreifer, der bereits im Unternehmensnetzwerk ist, egal auf welchem Weg, kann TeamCity mit sehr geringen Kosten zu einem Eskalationspunkt machen, wobei die Kette in produktivem Code endet, der mit legitimen Anmeldeinformationen signiert ist.

Der alltägliche Bug, den das Ökosystem noch nicht behoben hat

Was die CVE-2026-63077 aufdeckt, ist nicht der Bug selbst, der häufig bei der Java-Desserialisierung vorkommt, sondern wie wenig sich das DevOps-Ökosystem in Bezug auf Standardhärtung weiterentwickelt hat. CI-Server werden weiterhin als interne Werkzeuge behandelt, obwohl sie in der Praxis als Broker von Produktionsanmeldeinformationen fungieren. Solange sich diese Prämisse nicht ändert, wartet die nächste Lieferkette, die auf diesem Weg kompromittiert wird, nur auf das nächste vergessene XStream.