CVE-2026-63077 : TeamCity RCE non-auth CVSS 9.8 supply chain

Les faits

Le 28 juillet 2026, JetBrains a publié un bulletin de sécurité critique concernant CVE-2026-63077, une vulnérabilité d'exécution de commandes OS non authentifiée affectant toutes les versions de TeamCity On-Premises antérieures à 2025.11.7 et 2026.1.3. La faille, découverte par le chercheur en sécurité Antoni Tremblay et signalée le 10 juillet 2026 via le programme de divulgation responsable de JetBrains, a reçu un score CVSS 9.8 selon le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

CVE-2026-63077 est une désérialisation non sécurisée de données non fiables (CWE-502) dans le protocole de polling des agents TeamCity. Ce protocole, utilisé par les agents de build pour interroger le serveur TeamCity afin de récupérer leurs tâches de compilation et de test, présente une vulnérabilité permettant à un attaquant non authentifié d'envoyer des données sérialisées spécialement forgées que le serveur désérialise sans validation suffisante. Cette désérialisation non contrôlée entraîne l'exécution de commandes OS arbitraires avec les privilèges du processus serveur TeamCity.

Le vecteur d'attaque est purement réseau : tout attaquant disposant d'un accès HTTP ou HTTPS au serveur TeamCity peut tenter l'exploitation sans fournir d'identifiant. Dans la majorité des déploiements d'entreprise, le port TeamCity (8111 par défaut, ou 443 via reverse proxy) est accessible depuis le réseau interne, et dans de nombreux cas depuis Internet pour faciliter le travail à distance des développeurs. La condition d'exploitation (PR:N, UI:N, AC:L) en fait une faille particulièrement dangereuse dans un contexte de déploiements exposés.

TeamCity est l'une des plateformes d'intégration continue et de déploiement continu (CI/CD) les plus utilisées dans les environnements d'entreprise. Elle orchestre les pipelines de build, de test automatisé et de déploiement de code source vers les environnements de staging et de production. Un accès non autorisé au serveur TeamCity donne potentiellement à un attaquant le contrôle sur l'ensemble des pipelines CI/CD, lui permettant d'injecter du code malveillant dans les builds, de voler des secrets (clés API, identifiants cloud, tokens d'accès aux registres de conteneurs), et d'accéder aux dépôts de code source intégrés.

Ce type d'attaque par la chaîne d'approvisionnement logicielle (supply chain attack) est particulièrement dévastateur car il permet à un attaquant de compromettre silencieusement les applications et systèmes d'une organisation directement depuis l'outil de déploiement, sans nécessiter un accès direct aux serveurs de production. Des groupes APT comme APT29 (Cozy Bear) ont historiquement ciblé des plateformes CI/CD pour ce motif exact, comme l'avait démontré la campagne SolarWinds en 2020.

D'après les informations techniques publiées par IONIX et GBHackers le 28 juillet 2026, la surface d'attaque est constituée du port HTTP(S) exposé par le serveur TeamCity, accessible sans authentification préalable. Le payload de désérialisation malveillant est transmis via le canal de communication du protocole d'agent polling, qui n'est pas isolé des autres endpoints de l'interface web. Aucun proof-of-concept (PoC) public n'est disponible à la date de cet article, mais la criticité et la description technique permettent à des attaquants avancés de développer un exploit fonctionnel rapidement.

JetBrains a corrigé la faille dans les versions 2025.11.7 (branche Long-Term Support) et 2026.1.3 (branche de développement actuel). Les instances TeamCity Cloud ont été mises à jour automatiquement avant la publication de l'avis et ne sont pas vulnérables. JetBrains recommande également de placer les serveurs TeamCity derrière un VPN ou de restreindre leur accès Internet direct pour réduire la surface d'attaque résiduelle.

L'historique des CVE TeamCity doit inciter à traiter cette alerte avec la plus haute priorité. En 2024, les CVE-2024-27198 et CVE-2024-27199 — deux failles d'authentification bypass dans TeamCity — avaient été exploitées en masse dans les heures suivant leur publication, notamment par des groupes ransomware et des acteurs APT nord-coréens. Le profil quasi-identique de CVE-2026-63077 (unauthenticated, réseau, CI/CD) justifie une réponse immédiate sans attendre une exploitation confirmée in-the-wild.

Impact et exposition

Toute organisation utilisant TeamCity On-Premises dans une version antérieure à 2025.11.7 ou 2026.1.3 est directement exposée. L'exploitation est possible depuis le réseau interne sans authentification, et depuis Internet si le serveur est accessible publiquement. Des données Shodan publiées en 2025 indiquaient des milliers d'instances TeamCity directement exposées sur Internet, une proportion qui reste significative en 2026.

L'impact d'une exploitation réussie dépasse le seul serveur TeamCity. En accédant au processus serveur, un attaquant peut lire toutes les variables d'environnement et secrets configurés dans les pipelines (tokens cloud AWS, GCP, Azure, clés SSH, tokens d'accès aux registres Docker), modifier les scripts de build pour injecter des backdoors dans les artefacts déployés, et accéder aux connexions VCS (Git, SVN, Perforce) pour cloner l'ensemble du code source de l'organisation.

Les pipelines de déploiement automatisés connectés à TeamCity peuvent servir de vecteur pour propager une compromission vers les environnements de staging et de production. Dans un scénario d'attaque supply chain, les équipes de sécurité peuvent ne détecter la compromission que des semaines ou des mois après l'intrusion initiale, une fois que des artefacts corrompus ont été déployés en production et que des systèmes tiers ont récupéré des dépendances contaminées.

Recommandations immédiates

• Mettre à jour TeamCity On-Premises vers la version 2025.11.7 ou 2026.1.3 selon la branche utilisée — advisory : JetBrains Security Bulletin TW-90892
• Restreindre immédiatement l'accès Internet au serveur TeamCity via un pare-feu ou un proxy inverse avec authentification préalable (VPN obligatoire pour tout accès externe)
• Auditer les logs d'accès TeamCity pour identifier des requêtes HTTP non authentifiées anormales sur le port de communication des agents
• Effectuer une rotation préventive de tous les secrets configurés dans TeamCity (tokens, clés API, identifiants cloud) si une exposition réseau publique était en place
• Scanner les artefacts de build récents pour détecter d'éventuelles modifications non autorisées si une exploitation est suspectée