CVE-2026-63077 : RCE non authentifié CVSS 9.8 dans TeamCity

Les faits

JetBrains a publié le 28 juillet 2026 un avis de sécurité d'urgence pour CVE-2026-63077, une vulnérabilité de désérialisation de données non fiables (CWE-502) dans le protocole de communication entre les serveurs TeamCity On-Premises et leurs agents de build distants. La faille est classée critique avec un score CVSS v3.1 de 9.8, le niveau maximal pour une RCE non authentifiée accessible sur le réseau.

TeamCity est le serveur d'intégration continue et de déploiement continu (CI/CD) de JetBrains, utilisé par des centaines de milliers d'organisations dans le monde pour orchestrer leurs pipelines de build, de test et de déploiement logiciel. Il est particulièrement répandu dans les environnements Java, .NET et mobile. La version On-Premises, déployée directement dans les datacenters ou clouds privés des entreprises, relève de la responsabilité des équipes informatiques internes — à l'opposé de la version cloud hébergée par JetBrains.

Le protocole de polling des agents est le mécanisme par lequel les agents de build distants interrogent le serveur TeamCity pour récupérer de nouvelles tâches. Ce protocole accepte des connexions sur le port HTTP ou HTTPS configuré, sans nécessiter d'authentification préalable — la confiance étant supposée garantie par le contrôle du réseau. CVE-2026-63077 exploite cette surface via un objet Java sérialisé malformé envoyé dans ce flux. Le moteur de désérialisation côté serveur exécute alors des commandes arbitraires avec les privilèges du processus TeamCity, qui tourne en général avec des droits élevés pour pouvoir interagir avec les dépôts de code, les registres d'artefacts et les systèmes de déploiement.

La criticité est amplifiée par la position centrale de TeamCity dans la chaîne de développement. Un attaquant qui obtient une exécution de code accède immédiatement à l'ensemble des secrets stockés dans la plateforme : clés d'API AWS/Azure/GCP, tokens d'accès Git, credentials de déploiement vers la production, clés de signature de code, tokens d'accès aux registres Docker, identifiants de déploiement Kubernetes. Il peut également injecter du code malveillant dans les artefacts de build avant leur déploiement, compromettant silencieusement l'intégralité de la chaîne logicielle en aval — une attaque de supply chain classique.

Ce n'est pas la première fois que TeamCity fait l'objet d'une vulnérabilité critique de ce niveau. En octobre 2023, CVE-2023-42793 (CVSS 9.8) avait permis un bypass d'authentification complet, exploité dans les 48 heures par des acteurs APT nord-coréens (groupe Lazarus) et russes (Fancy Bear / APT28). La CISA et le FBI avaient publié un avis conjoint en décembre 2023 documentant des compromissions de chaînes d'approvisionnement logicielles. En mars 2024, CVE-2024-27198 (CVSS 9.8) avait conduit à des milliers de compromissions automatisées dans les heures suivant la publication des détails techniques par Rapid7, avec des groupes ransomware (BianLian, Black Basta) utilisant ces accès initiaux pour déployer des cryptolockers.

JetBrains a vérifié ses environnements TeamCity Cloud et n'a pas détecté de tentative d'exploitation au 28 juillet 2026. La mise à jour corrective est disponible dans les versions 2025.11.7 et 2026.1.3. Pour les organisations ne pouvant pas procéder à une mise à jour immédiate et tournant sur des versions aussi anciennes que 2017.1, un plugin de sécurité est disponible pour installation à chaud — seules les versions antérieures à 2018.2 nécessitent un redémarrage du serveur.

La CISA n'a pas encore ajouté CVE-2026-63077 à son catalogue Known Exploited Vulnerabilities (KEV) au moment de la publication — l'absence d'exploitation confirmée en explique le délai. Cependant, compte tenu du précédent CVE-2024-27198, la fenêtre entre la publication de l'avis et le début de l'exploitation active s'est historiquement établie à moins de 48 heures sur ce produit.

L'exposition de TeamCity sur Internet public est une pratique courante dans les environnements DevOps, notamment pour permettre aux agents de build hébergés dans des clouds tiers de se connecter au serveur central. Une recherche Censys effectuée en juillet 2026 identifie plus de 23 000 instances TeamCity directement accessibles sur Internet, dont une proportion significative tourne encore sur des versions non patchées. Ces instances représentent la surface d'attaque immédiate dès qu'un Proof of Concept sera publiquement disponible.

Impact et exposition

Toute organisation déployant TeamCity On-Premises dans une version antérieure à 2025.11.7 ou 2026.1.3 est exposée, qu'elle soit accessible depuis Internet ou uniquement en réseau interne. Un attaquant déjà présent sur le réseau interne (via phishing ou pivoting) peut exploiter la faille de la même façon qu'un attaquant externe. L'impact potentiel dépasse la compromission du seul serveur CI/CD : c'est l'intégralité de la chaîne de livraison logicielle et les environnements de production qu'elle alimente qui deviennent atteignables sans contrainte supplémentaire.

Recommandations

• Immédiat : Mettre à jour TeamCity On-Premises vers la version 2025.11.7 ou 2026.1.3. Si impossible, installer le plugin de sécurité JetBrains disponible pour les versions 2017.1 et ultérieures.
• Immédiat : Vérifier si votre serveur TeamCity est accessible depuis Internet. Si oui, le placer derrière un VPN ou restreindre l'accès par liste blanche d'IP en urgence, avant même le patch.
• Court terme : Auditer les secrets stockés dans TeamCity (tokens d'API, credentials de déploiement, clés de signature) et les renouveler, surtout si le serveur était exposé sur Internet.
• Court terme : Vérifier l'intégrité des artefacts produits par vos pipelines de build sur les 30 derniers jours en comparant les checksums avec les sources contrôlées.
• Moyen terme : Installer un agent EDR sur les serveurs CI/CD et alerter sur tout spawn de processus shell depuis le processus TeamCity — signal caractéristique d'une exploitation RCE.