CVE-2026-63077 : TeamCity RCE CVSS 9.8 exploité ransomware

Les faits

CVE-2026-63077 est une vulnérabilité critique de désérialisation de données non fiables (CWE-502) affectant JetBrains TeamCity On-Premises, le serveur de build CI/CD très répandu dans les équipes de développement logiciel. Découverte et publiée par l'équipe de recherche Rapid7, la faille a été corrigée le 25 juillet 2026 dans les versions 2025.11.7 et 2026.1.3 via l'avis de sécurité JetBrains JSA-2026-63077. Elle obtient un score CVSS 3.1 de 9.8 CRITIQUE avec le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, signifiant : accessible par réseau, complexité d'attaque faible, aucun privilège préalable requis, aucune interaction utilisateur nécessaire, impacts confidentialité, intégrité et disponibilité au niveau le plus élevé.

Le mécanisme d'exploitation repose sur le protocole de communication entre le serveur TeamCity et ses agents de build distribués. Ce canal de remontée d'erreurs des agents ne procède à aucune validation d'identité robuste. Un attaquant peut s'auto-enregistrer comme agent de build légitime auprès d'une instance TeamCity accessible via HTTP ou HTTPS, sans disposer d'aucun compte valide sur le système. Une fois enregistré, l'attaquant envoie un document XML soigneusement forgé à l'endpoint de signalement d'erreurs de l'agent. Le serveur TeamCity traite ce document en le désérialisant directement via la bibliothèque Java XStream, sans filtrage préalable des classes autorisées. Cette désérialisation active une chaîne de gadgets Java qui aboutit à l'écriture et à l'exécution d'un webshell JSP sur le système de fichiers du serveur, accordant à l'attaquant un accès persistant avec les privilèges complets du processus TeamCity.

L'avis de sécurité JSA-2026-63077 de JetBrains confirme que toutes les versions de TeamCity On-Premises antérieures à 2025.11.7 (branche 2025.x) et 2026.1.3 (branche 2026.x) sont vulnérables. La faille est présente dans l'implémentation du protocole de polling des agents depuis plusieurs années de développement, rendant potentiellement l'ensemble du parc TeamCity On-Premises exposé sans considération de version majeure. Des preuves de concept (PoC) publics ont été rapidement développés et intégrés dans des frameworks d'exploitation professionnels, abaissant considérablement la barre technique nécessaire à une exploitation réussie.

La CISA a intégré CVE-2026-63077 à son catalogue Known Exploited Vulnerabilities (KEV) le 5 août 2026, soit dix jours seulement après la publication du patch — un délai extrêmement court signalant une exploitation active immédiate dans la nature. La CISA a fixé une échéance de remédiation au 26 août 2026 pour les agences fédérales américaines, conformément à la directive BOD 22-01. Shadowserver Foundation a dénombré environ 700 instances TeamCity exposées sur internet non corrigées dans les premiers jours suivant la divulgation publique.

La situation s'est encore aggravée en septembre 2026. Le 23 septembre 2026, la CISA a émis un avertissement complémentaire explicite indiquant que des groupes de ransomware utilisaient activement CVE-2026-63077 dans leurs campagnes d'attaque. Selon le renseignement sur les menaces collecté par BleepingComputer et plusieurs équipes de threat intelligence, les opérateurs de ransomware ciblent prioritairement les instances TeamCity exposées pour leur valeur stratégique dans la chaîne d'approvisionnement logicielle.

Compromettre un serveur TeamCity donne en effet accès à bien plus que la machine elle-même : le dépôt de code source complet, les pipelines de build configurés avec leurs secrets (tokens d'API, clés de déploiement, credentials cloud AWS/Azure/GCP, certificats de signature de code), la capacité de déclencher des déploiements en production, et les connexions aux environnements d'infrastructure critique. Ce type d'accès a permis par le passé des attaques de supply chain parmi les plus dévastatrices de l'histoire de la cybersécurité.

Au 25 octobre 2026, selon les données de Shadowserver Foundation, environ 160 instances TeamCity On-Premises restent non patchées et accessibles sur internet — en baisse notable par rapport aux 700 initiales, mais représentant encore un risque majeur. Chacune de ces instances constitue une cible active pour les groupes de ransomware et autres acteurs malveillants. Le délai de trois mois écoulé depuis la publication du patch rend inexcusable l'absence de remédiation pour toute organisation maintenant TeamCity accessible depuis internet.

Sur le plan réglementaire, les organisations soumises à NIS2 en Europe doivent intégrer cette vulnérabilité dans leur processus de gestion des risques cybersécurité. La directive impose une notification aux autorités compétentes (CERT-FR en France pour les entités essentielles et importantes) dans les 24 heures suivant la détection d'un incident significatif. Une exploitation réussie de CVE-2026-63077 entraînant une compromission de la chaîne de production logicielle répondrait très probablement aux critères d'incident significatif au sens de NIS2.

Impact et exposition

Toute organisation déployant JetBrains TeamCity On-Premises dans une version non corrigée est directement exposée dès lors que le port d'administration est accessible depuis internet ou depuis un réseau interne potentiellement compromis. La condition d'exploitation est uniquement l'accessibilité réseau au port HTTP(S) de TeamCity — aucun compte valide n'est requis, aucune configuration spécifique n'est nécessaire. Le profil d'exposition est donc extrêmement large : toute instance TeamCity avec un port TCP ouvert sur internet est exploitable immédiatement par n'importe quel acteur disposant du PoC public.

L'impact d'une exploitation réussie s'étend bien au-delà du serveur TeamCity lui-même. En tant que système CI/CD central, TeamCity est typiquement l'un des systèmes les mieux connectés de l'infrastructure d'une organisation : accès aux dépôts Git, aux registres d'artefacts, aux plateformes cloud, aux environnements de staging et de production. Un attaquant établi sur TeamCity dispose de tous les éléments nécessaires pour compromettre l'ensemble de la chaîne de livraison logicielle.

Les groupes de ransomware ciblant cette vulnérabilité opèrent selon un schéma d'attaque documenté : établissement d'un accès persistant via le webshell JSP déposé, reconnaissance latérale sur le réseau interne via les connexions TeamCity aux autres systèmes, exfiltration des secrets et de la propriété intellectuelle stockés dans les configurations de build, déploiement de la charge utile ransomware sur le maximum de systèmes accessibles. La présence dans le KEV CISA et la confirmation CISA des campagnes ransomware en font une priorité absolue.

Les secteurs les plus exposés sont le développement logiciel (éditeurs de logiciels, ESN, startups tech), les institutions financières avec des équipes DevOps internes, les opérateurs de télécommunications, et toute organisation utilisant TeamCity pour des pipelines CI/CD connectés à des environnements cloud.

Recommandations immédiates

• Appliquer immédiatement le patch : mettre à jour vers TeamCity 2025.11.7 (branche 2025.x) ou 2026.1.3 (branche 2026.x) — JetBrains Security Advisory JSA-2026-63077
• Si la mise à jour immédiate est impossible : installer le plugin de sécurité officiel JetBrains disponible pour TeamCity 2017.1 et supérieur, disponible dans le JetBrains Plugin Repository
• Isoler immédiatement les serveurs TeamCity non patchés derrière un pare-feu avec liste blanche d'accès (uniquement agents de build connus et développeurs)
• Auditer les logs d'accès pour tout auto-enregistrement d'agent inattendu et tout accès aux endpoints /app/agentPush/ ou /update/ depuis des IP inconnues
• Rechercher des webshells JSP inattendus dans le répertoire de déploiement TeamCity (sous $TEAMCITY_HOME/webapps/ROOT/) avec la commande : find $TEAMCITY_HOME/webapps -name "*.jsp" -newer /chemin/vers/fichier-de-référence
• Révoquer et régénérer tous les secrets (tokens, credentials, certificats) stockés dans TeamCity si une compromission est suspectée ou impossible à exclure
• Surveiller les connexions sortantes anormales depuis le serveur TeamCity vers des IP externes inconnues