CVE-2026-63077 : TeamCity RCE critique en CI/CD

Une désérialisation critique ouvre les pipelines CI/CD à l'exécution de code arbitraire

Le 27 juillet 2026, JetBrains a publié un avis de sécurité urgent pour CVE-2026-63077, une vulnérabilité critique affectant toutes les versions de TeamCity On-Premises. Découverte et signalée de manière responsable par le chercheur en sécurité Antoni Tremblay, la faille résulte d'un problème de désérialisation de données non fiables dans le protocole d'interrogation des agents (agent polling protocol). Son score CVSS 3.1 de 9.8 en fait l'une des vulnérabilités les plus sévères divulguées sur une plateforme CI/CD en 2026, et elle a été remise en lumière par le rapport hebdomadaire de Check Point Research daté du 3 août 2026.

TeamCity est la solution de build, test et déploiement continu développée par JetBrains. Utilisée par des milliers d'équipes de développement dans le monde pour automatiser leurs pipelines d'intégration et de livraison continues, la plateforme occupe une position stratégique dans la chaîne de développement logiciel : elle a accès aux dépôts de code source, aux clés de signature de code, aux tokens de déploiement et aux secrets d'infrastructure. Compromettre un serveur TeamCity revient à s'asseoir au coeur de l'usine logicielle d'une organisation entière.

La vulnérabilité exploite le canal de communication entre le serveur TeamCity et ses agents de build. Ces agents s'interrogent régulièrement auprès du serveur pour récupérer de nouveaux travaux à exécuter. JetBrains a implémenté ce protocole d'interrogation sans valider et assainir correctement les données reçues avant de les désérialiser. Un attaquant disposant d'un accès HTTP ou HTTPS au serveur — même sans credentials valides — peut envoyer une requête spécialement conçue qui, lors de la désérialisation côté serveur, déclenche l'exécution de commandes système arbitraires avec les privilèges du processus TeamCity Server.

Les conséquences d'une exploitation réussie sont particulièrement graves. Avec les privilèges du serveur TeamCity, l'attaquant peut lire l'ensemble des tokens et mots de passe stockés dans les configurations de projet — credentials de bases de données, clés API de services cloud, tokens VCS (Version Control System) pour GitHub, GitLab ou Bitbucket, certificats de signature de code. Il peut modifier les scripts de build pour injecter des backdoors dans les artefacts produits, s'étendre latéralement vers les systèmes de déploiement et potentiellement empoisonner des packages distribués à des clients ou des utilisateurs finaux.

Les versions corrigées sont TeamCity On-Premises 2025.11.7 et 2026.1.3, disponibles depuis le 27 juillet 2026. Pour les équipes qui ne peuvent pas procéder immédiatement à une mise à jour complète, JetBrains propose un plugin de patch de sécurité compatible avec toutes les versions depuis TeamCity 2017.1. La procédure d'installation du plugin ne nécessite pas de redémarrage du serveur. Les clients de TeamCity Cloud bénéficiaient du correctif avant la divulgation publique et ne sont pas affectés.

Le chercheur Antoni Tremblay a suivi une procédure de divulgation responsable, notifiant JetBrains avant de rendre les détails techniques publics. Rapid7 a publié une analyse technique approfondie le jour même de la divulgation officielle, soulignant le risque d'exploitation rapide compte tenu de la simplicité relative du vecteur d'attaque et de l'attractivité des cibles pour les acteurs malveillants. Bien qu'aucune exploitation active n'ait été documentée au moment de la publication initiale en juillet, la remédiatisation lors de Black Hat USA 2026 accroît le risque de weaponisation imminente.

Black Hat USA 2026, qui se tient à Las Vegas du 1er au 6 août, rassemble simultanément des milliers de chercheurs en sécurité offensifs et défensifs. Cette conjonction entre une divulgation récente, un CVSS 9.8, et l'un des plus grands rassemblements de la communauté hacking mondiale constitue une fenêtre d'exploitation particulièrement délicate. La recherche via des moteurs d'indexation de services exposés permettrait théoriquement d'identifier en quelques minutes les instances TeamCity accessibles depuis Internet.

Pour mettre cette faille en perspective, TeamCity a déjà été la cible d'exploitation active à grande échelle. En mars 2024, CVE-2024-27198 et CVE-2024-27199, deux failles d'authentification bypass également notées CVSS 9.8, avaient été massivement exploitées par des acteurs liés à la Russie (APT29/Midnight Blizzard) et à la Corée du Nord (groupe Lazarus) pour compromettre des milliers d'instances exposées sur Internet. Cette récidive de faille de même sévérité deux ans plus tard, à nouveau dans le protocole de communication des agents, signale un défi structurel persistant dans la sécurité de TeamCity On-Premises.

Les CI/CD : cibles prioritaires des attaques de chaîne d'approvisionnement

CVE-2026-63077 illustre pourquoi les plateformes CI/CD sont devenues des cibles de choix pour les acteurs de la menace les plus sophistiqués. L'incident SolarWinds de 2020, dans lequel des attaquants avaient compromis le pipeline de build d'Orion pour empoisonner les mises à jour logicielles distribuées à 18 000 clients, avait durablement modifié la perception de la sécurité des systèmes de déploiement continu. Depuis, les groupes APT étatiques et les opérateurs de ransomware ont intégré les plateformes CI/CD dans leur kill chain standard.

La raison est simple : compromettre un serveur de build équivaut à placer un adversaire au coeur du processus de fabrication du logiciel. Contrairement à une compromission de poste de travail ou de serveur applicatif, une intrusion dans un pipeline CI/CD permet d'injecter du code malveillant dans les artefacts produits — bibliothèques, conteneurs Docker, installateurs — avant leur distribution aux équipes internes ou aux clients finaux. Cette capacité d'empoisonnement en amont est ce qui rend les attaques de supply chain si difficiles à détecter et si dévastatrices dans leurs effets à long terme.

Les équipes de sécurité doivent traiter leurs serveurs CI/CD comme des actifs critiques de niveau équivalent aux contrôleurs de domaine Active Directory ou aux systèmes de gestion des identités. Cela implique de les isoler du reste du réseau, de restreindre leur accès Internet au strict nécessaire, de surveiller leurs logs avec les mêmes outils que les systèmes d'infrastructure critique, et d'appliquer les mises à jour de sécurité en priorité, avant même les applications métier. Selon Help Net Security, de nombreuses organisations maintiennent des instances TeamCity On-Premises exposées directement sur Internet, parfois depuis des années, faute de politique de segmentation réseau adaptée.

Sur le plan réglementaire, les obligations de sécurité de la chaîne d'approvisionnement logicielle se sont renforcées en Europe avec NIS2 et en France avec les décrets d'application qui ont suivi. Les opérateurs d'importance essentielle (OIE) et d'importance importante (OII) sont désormais tenus de sécuriser leurs outils de développement et de déploiement au même titre que leurs systèmes opérationnels. Une compromission de pipeline CI/CD non signalée dans les délais prescrits peut constituer une violation des obligations de notification d'incident auprès de l'ANSSI, avec les sanctions administratives qui en découlent.

Ce qu'il faut retenir

• Mettre à jour immédiatement TeamCity On-Premises vers la version 2025.11.7 ou 2026.1.3 ; en cas d'impossibilité immédiate, appliquer le plugin de patch de sécurité disponible pour les versions 2017.1 et ultérieures.
• Auditer les logs du serveur TeamCity depuis le 27 juillet 2026 pour détecter des requêtes anormales vers les endpoints du protocole d'interrogation des agents, en particulier depuis des sources IP inattendues.
• Traiter toute instance TeamCity exposée à Internet comme potentiellement compromise et procéder à une rotation complète des secrets stockés (tokens VCS, clés API cloud, certificats de signature) avant de reprendre les opérations normales.