CVE-2026-63077 : JetBrains TeamCity RCE non-auth CISA KEV

Les faits

Le 5 aout 2026, la CISA a ajoute CVE-2026-63077 a son catalogue des vulnerabilites connues et exploitees (KEV) avec un delai de remediation inhabituellement court de seulement trois jours (au 8 aout 2026) pour les agences federales americaines, l'un des plus courts jamais imposes dans le cadre de la directive BOD 22-01. Cette urgence exceptionnelle signale le niveau de criticite extreme de cette faille et l'intensite de son exploitation dans la nature. La vulnerabilite affecte JetBrains TeamCity, l'une des plateformes CI/CD (Integration Continue / Deploiement Continu) les plus utilisees dans l'industrie du developpement logiciel, presente dans des milliers d'organisations a travers le monde pour automatiser leurs pipelines de build, test et deploiement.

CVE-2026-63077 est une vulnerabilite de deserialisation de donnees non fiables (CWE-502) avec un score CVSS v3 de 9.8, qualification Critique. Le vecteur d'attaque est AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H : exploitable a distance, sans complexite d'attaque, sans aucun privilege prealable requis et sans interaction utilisateur. La faille reside dans les endpoints du protocole de polling des agents BuildRunner de TeamCity, accessibles via le chemin /app/agents/v1. Ces endpoints permettent aux agents de build de communiquer avec le serveur TeamCity pour recuperer de nouvelles taches de build et des configurations d'execution, et sont typiquement exposes sur le port d'ecoute principal de TeamCity (8111 ou 443 en HTTPS).

La cause racine de cette vulnerabilite est une erreur d'implementation subtile mais devastatrice dans la gestion de la liste blanche de deserialisation XStream. JetBrains a utilise la bibliotheque XStream pour serialiser et deserialiser les objets echanges dans le protocole agent-serveur. Pour restreindre les classes deserialisables, les developpeurs ont appele la methode xStream.allowTypes() afin d'ajouter a la liste blanche les classes legitimes du protocole TeamCity. Cependant, ils n'ont pas prealablement appele xStream.addPermission(NoTypePermission.NONE), qui aurait desactive les permissions par defaut permissives d'XStream. Sans cette instruction de reinitialisation, la liste blanche fonctionne en mode additif sur les permissions par defaut d'XStream, qui autorisent encore de larges hierarchies de classes Java comme Map, Collection, Throwable et d'autres abstractions fondamentales. Rapid7, qui a decouvert et analyse la faille, a publie une analyse technique detaillee confirmant la faisabilite de l'exploitation et documentant la root cause exacte.

Un attaquant peut exploiter ces classes autorisees par defaut pour construire une chaine de gadgets de deserialisation (deserialization gadget chain) permettant d'atteindre une execution de code arbitraire sur le serveur TeamCity. L'exploitation se deroule via une requete HTTP POST malformee envoyee aux endpoints /app/agents/v1, sans necessiter aucun credential valide. Cette technique, connue des chercheurs en securite depuis les travaux fondateurs sur les gadget chains Java, s'applique ici via l'erreur d'implementation specifique de XStreamHolder dans TeamCity, constituant une vulnerabilite concrete et exploitable confirmee par Rapid7 avec PoC fonctionnel publie en aout 2026.

L'exploitation de CVE-2026-63077 donne a l'attaquant les privileges du processus serveur TeamCity. Selon la configuration de deploiement, cela peut correspondre a un compte de service Windows disposant de droits etendus, ou a root sous Linux. Dans tous les cas, cela signifie un acces complet au serveur TeamCity lui-meme, incluant : les secrets de build (variables d'environnement, parametres de configuration), les credentials de deploiement (cles SSH, tokens API, credentials de registres Docker et d'environnements cloud AWS/Azure/GCP), le code source de tous les projets configures, et la capacite de modifier silencieusement les pipelines de build et de deploiement existants pour injecter du code malveillant dans les livrables logiciels destines aux clients de l'organisation victime.

TeamCity est particulierement attrayante pour les acteurs sophistiques car elle centralise les assets les plus precieux du cycle de developpement logiciel d'une organisation. Une compromission d'un serveur TeamCity peut permettre la manipulation silencieuse des pipelines de build pour realiser une attaque de type supply-chain : un code malveillant est insere dans les livrables logiciels distribues aux clients, sans que l'organisation victime ne puisse detecter la manipulation si elle est realisee avec soin. L'historique de TeamCity confirme ce risque : CVE-2024-27198 et CVE-2024-27199 (bypass d'authentification, CVSS 9.8, mars 2024) avaient ete massivement exploitees par des acteurs etatiques dont Midnight Blizzard (APT29 / Cozy Bear) pour mener des attaques supply-chain contre des organisations occidentales.

La Cloud Security Alliance (CSA) a publie une note de recherche speciale sur CVE-2026-63077 (CSA Research Note TEAMCITY-CVE-2026-63077-KEV-20260806) soulignant l'urgence de la remediation et documentant les techniques d'attenuation. Plusieurs publications techniques specialisees ont analyse en detail la chaine de gadgets XStream applicable, rendant l'exploitation accessible a un large spectre d'acteurs malveillants. La Zero Day Initiative de Trend Micro et GBHackers ont egalement publie des analyses independantes confirmant les details techniques de la vulnerabilite d'apres le bulletin de securite JetBrains d'aout 2026.

Les correctifs sont disponibles dans TeamCity On-Premises version 2025.11.7 et 2026.1.3. JetBrains a egalement publie un plugin de patch autonome pour les versions plus anciennes ne pouvant pas etre immediatement mises a jour, disponible sur le portail de telechargement JetBrains. TeamCity Cloud est completement exempt de cette vulnerabilite. Toutes les installations TeamCity On-Premises exposees sur Internet ou accessibles depuis des reseaux non de confiance doivent etre considerees comme priorite de remediation immediate, en particulier dans les organisations du secteur du developpement logiciel et des services IT ou une compromission aurait des implications pour les clients finaux.

Impact et exposition

JetBrains TeamCity est utilise par des centaines de milliers d'organisations dans le monde pour leurs pipelines CI/CD. La compromission d'un serveur TeamCity represente bien plus qu'une intrusion sur un serveur applicatif : c'est l'acces au coeur de la chaine d'approvisionnement logicielle de l'organisation victime. Un attaquant ayant compromis TeamCity dispose d'un acces a tous les depots de code connectes, a tous les secrets et credentials utilises dans les builds (API keys, tokens OAuth, credentials de bases de donnees, certificats de signature de code), et peut silencieusement modifier les pipelines pour inserer du code malveillant dans les livrables logiciels distribues aux clients, realisant une attaque supply-chain a grande echelle.

La surface d'exposition est significative : de nombreuses installations TeamCity On-Premises sont accessibles directement depuis Internet pour permettre aux equipes de developpement distribues et aux agents de build distants de s'y connecter. Les secteurs les plus exposes incluent les editeurs de logiciels, les ESN et SSII, les fintechs et scale-ups technologiques, et les departements IT d'organisations de toutes tailles gerant du code source et des pipelines de deploiement sensibles. La presence d'un serveur TeamCity expose non patche dans l'un de ces secteurs represente un risque immediat de compromission ainsi qu'un risque potentiel pour l'ensemble des clients utilisant les logiciels produits sur cette infrastructure.

L'exploitation active confirmee par la CISA et l'urgence exceptionnelle du delai de remediation federal (3 jours seulement) indiquent que des acteurs malveillants, potentiellement des groupes etatiques ou des operateurs de ransomware sophistiques comme observes lors des exploitations precedentes de TeamCity, sont en train de compromettre activement des serveurs vulnerables. Compte tenu du precedent CVE-2024-27198 et CVE-2024-27199 (exploitation par APT29 / Lazarus), les organisations du secteur technologique doivent traiter cette alerte comme une priorite absolue et absolument urgente de securite.

Recommandations immediates

• Mettre a jour vers TeamCity On-Premises 2025.11.7 ou 2026.1.3 — advisory : JetBrains Security Advisory CVE-2026-63077 (bulletin de securite JetBrains aout 2026)
• Si la mise a jour complete est impossible immediatement : installer le plugin de patch standalone fourni par JetBrains pour les versions plus anciennes
• Restreindre l'acces aux endpoints /app/agents/v1 aux seules adresses IP des agents de build legitimes via des regles de pare-feu ou un reverse proxy avec liste blanche d'IP
• Auditer l'ensemble des secrets et credentials configures dans TeamCity et les considerer comme potentiellement compromis si le serveur etait expose sur Internet sans patch depuis debut aout 2026
• Verifier l'integrite des pipelines de build et des artefacts produits : rechercher des modifications non autorisees de scripts de build ou de configurations de deploiement depuis debut aout 2026
• Activer les logs d'audit TeamCity (Administration > Audit) et rechercher des authentifications, executions de build ou modifications de configuration inattendues depuis des IP non connues
• Signaler toute compromission suspectee au CERT-FR et envisager une investigation forensique complete du serveur TeamCity et des systemes accessibles via ses credentials