CVE-2026-63077 : TeamCity RCE CVSS 9.8 ajoutée au KEV CISA

Une faille critique dans le cœur de vos pipelines CI/CD

JetBrains a publié le 28 juillet 2026 un avis de sécurité critique concernant CVE-2026-63077, une vulnérabilité de désérialisation de données non fiables (CWE-502) affectant toutes les versions de TeamCity On-Premises antérieures à 2025.11.7 et 2026.1.3. Avec un score CVSS de 9.8 sur 10, cette faille permet à un attaquant non authentifié d'exécuter des commandes arbitraires du système d'exploitation avec les privilèges du processus serveur TeamCity — sans disposer d'aucun accès préalable à la plateforme. Il n'existe aucune condition préalable : ni compte valide, ni accès réseau particulier au-delà d'une connectivité TCP vers le port du serveur TeamCity.

Le vecteur d'exploitation réside dans le protocole de communication entre les agents de build TeamCity et le serveur central. Un attaquant peut envoyer des données sérialisées malformées via ce canal, contournant entièrement les mécanismes d'authentification. Une fois l'exécution de code distante obtenue, le serveur TeamCity compromis devient une tête de pont idéale : il contient les tokens d'accès aux dépôts de code source (GitHub, GitLab, Bitbucket), les secrets de déploiement (clés AWS, certificats TLS, tokens d'API), les artefacts de build, et les configurations complètes de pipeline CI/CD. C'est précisément ce que la communauté sécurité nomme un "CI/CD jackpot" — un point d'entrée unique qui ouvre les portes à l'ensemble de la chaîne logicielle d'une organisation.

La situation a pris un tour d'urgence le 5 août 2026 lorsque la CISA a ajouté CVE-2026-63077 à son catalogue des vulnérabilités connues exploitées (KEV, Known Exploited Vulnerabilities). Conformément à la Binding Operational Directive BOD 26-04, les agences civiles fédérales américaines (FCEB) disposaient d'un délai inhabituellement court de 72 heures pour appliquer le correctif ou les mesures de mitigation, avec une échéance fixée au 8 août 2026. Ce délai raccourci — les BOD prévoient habituellement 21 jours pour les vulnérabilités critiques — témoigne de la gravité et de l'immédiateté de la menace perçue par les équipes de la CISA, qui avaient déjà observé des compromissions actives dans des environnements gouvernementaux et privés.

Selon SecurityWeek, les premières observations d'exploitation active ont été enregistrées peu après la publication du patch de JetBrains fin juillet 2026. Le blog officiel JetBrains avait lui-même averti dès le 28 juillet que des preuves de concept (PoC) publics circulaient sur des dépôts publics et des forums spécialisés, réduisant de fait la fenêtre de sécurité pour les équipes non patchées à quelques heures. BleepingComputer a rapporté que des acteurs de la menace exploitaient la faille pour déposer des web shells sur des serveurs compromis, leur permettant un accès persistant même après redémarrage du service TeamCity. La persistance via web shell est particulièrement problématique : un patch appliqué après compromission ne suffit pas à éradiquer l'accès de l'attaquant, qui maintient une porte dérobée fonctionnelle même sur un système techniquement à jour.

Toutes les versions de TeamCity On-Premises antérieures à 2025.11.7 et 2026.1.3 sont vulnérables sans exception. JetBrains a publié deux voies de remédiation : une mise à jour complète vers ces versions correctives, et pour les organisations ne pouvant pas effectuer un redémarrage immédiat, un plugin de sécurité temporaire applicable sans interruption complète du service. TeamCity Cloud (instance hébergée par JetBrains) n'est pas affecté, la mise à jour ayant été déployée automatiquement sur l'infrastructure hébergée avant la divulgation publique. Les instances auto-hébergées dans des conteneurs Docker, des environnements Kubernetes ou des machines virtuelles dédiées nécessitent une mise à jour manuelle de l'image et du déploiement.

TeamCity est l'un des serveurs d'intégration continue les plus répandus en milieu d'entreprise, notamment dans les secteurs financier, défense, technologie et santé. Directement comparable à Jenkins, GitHub Actions ou GitLab CI, la plateforme est particulièrement prisée des équipes .NET et Java pour sa gestion native des pipelines complexes et son intégration profonde avec l'écosystème JetBrains (IntelliJ, Rider). Ce n'est pas la première fois que TeamCity se retrouve dans le viseur des attaquants : en 2024, plusieurs groupes APT liés à la Russie, dont APT29 (Cozy Bear), avaient exploité CVE-2023-42793, une faille d'authentification critique, pour compromettre des chaînes d'approvisionnement logicielles chez des centaines d'organisations. Ce pattern répétitif est révélateur de l'attractivité structurelle des plateformes CI/CD pour les attaquants cherchant un effet de levier maximal.

La surface d'attaque des plateformes CI/CD représente l'un des vecteurs d'intrusion les plus efficaces pour des acteurs cherchant à compromettre la chaîne d'approvisionnement logicielle à grande échelle. Un serveur TeamCity compromis peut permettre l'injection de code malveillant dans des artefacts de build distribués à des centaines ou des milliers de clients en aval — sans que ces derniers puissent détecter la compromission en amont dans leur propre infrastructure. Ce scénario, connu sous le nom de "supply chain poisoning via CI/CD", est exactement celui qui a été utilisé dans l'attaque SolarWinds en 2020, où une modification de l'artefact de build Orion avait permis de compromettre 18 000 organisations sans aucune intrusion directe dans leurs systèmes. La CISA évoque explicitement ce risque dans sa communication accompagnant l'ajout au KEV.

Les organisations utilisant TeamCity On-Premises doivent traiter cette faille comme une urgence de niveau P0 ne souffrant aucun délai. En l'absence d'un patch immédiat, les mesures de mitigation recommandées comprennent : l'isolation du serveur TeamCity derrière un VPN ou un pare-feu strict limitant l'accès au protocole agent de build, la surveillance active des journaux d'accès pour détecter des requêtes anormales vers les endpoints de sérialisation, et la révocation temporaire des tokens d'accès aux dépôts de code et aux environnements cloud en cas de doute sur une compromission passée. La CISA recommande également une rotation complète des secrets stockés dans TeamCity pour les systèmes potentiellement exposés depuis la publication du PoC fin juillet 2026.

Pourquoi cette faille est un signal structurel pour les équipes DevSecOps

L'exploitation de CVE-2026-63077 illustre une tendance lourde observée tout au long de 2026 : les attaquants délaissent progressivement les endpoints utilisateurs, de mieux en mieux protégés par les EDR modernes et l'authentification multifacteur, pour cibler l'infrastructure de développement — forges logicielles, pipelines CI/CD, registres d'artefacts. Ces systèmes disposent généralement d'accès privilégiés à l'ensemble du code source et des environnements de production, mais bénéficient historiquement d'une surveillance moins rigoureuse que les serveurs applicatifs directement exposés à Internet. Ils constituent donc une surface d'attaque de haute valeur stratégique et de résistance relativement faible — une combinaison idéale pour les attaquants orientés vers un impact maximal.

L'histoire de TeamCity et des vulnérabilités CI/CD est déjà riche en précédents alarmants qui auraient dû accélérer la maturité sécurité des déploiements. CVE-2023-42793, exploitée par APT29, avait permis la compromission de chaînes d'approvisionnement logicielles chez des centaines d'organisations dans le monde. CVE-2024-27198 et CVE-2024-27199, deux failles critiques TeamCity divulguées en 2024, avaient été exploitées dans les 24 heures suivant leur publication par des groupes ransomware. Le même pattern se répète avec CVE-2026-63077, et il s'accélère : selon les données de Rapid7, le temps médian entre la publication d'un PoC et la première exploitation observée est désormais inférieur à 8 heures en 2026, contre 12 jours en 2021. Cette compression dramatique du délai de réaction place les équipes IT dans une posture défensive de plus en plus difficile à tenir sans automatisation des processus de patching.

Pour les entreprises européennes, l'enjeu dépasse le risque opérationnel direct. La directive NIS2, transposée en droit français depuis octobre 2024, impose aux entités essentielles et importantes de mettre en place des mesures de gestion des risques de la chaîne d'approvisionnement logicielle et de notifier l'ANSSI dans les 72 heures pour les incidents significatifs. Une compromission de TeamCity non détectée ou non signalée dans les délais expose l'organisation à des sanctions administratives potentiellement lourdes. Le DORA, applicable au secteur financier depuis janvier 2025, impose des exigences similaires de résilience opérationnelle et de test des plans de continuité. Ces obligations réglementaires renforcent l'argument business pour un patch management en quasi-temps réel des systèmes CI/CD critiques, avec des processus d'approbation d'urgence prédéfinis.

La fenêtre de 72 heures imposée par la CISA aux agences fédérales américaines est un signal que les équipes de sécurité privées doivent interpréter avec la même urgence. Pour les entreprises non soumises aux Binding Operational Directives américains, la logique reste identique : les acteurs de la menace exploitent activement cette faille, des preuves de concept sont disponibles publiquement depuis fin juillet, et la surface exposée comprend potentiellement l'intégralité du code source, des secrets de production et de la chaîne de distribution logicielle de l'organisation. Attendre les prochaines fenêtres de maintenance planifiées n'est pas une option viable pour CVE-2026-63077. Les DSI et RSSI doivent autoriser des interventions hors-cycle pour traiter cette faille avec la même rapidité qu'une incident de production critique.

Ce qu'il faut retenir

• CVE-2026-63077 dans JetBrains TeamCity On-Premises permet une RCE non authentifiée CVSS 9.8 via désérialisation — patcher immédiatement vers 2025.11.7 ou 2026.1.3, ou appliquer le plugin de sécurité temporaire publié par JetBrains.
• La CISA a imposé un délai de 72h aux agences fédérales américaines (échéance 8 août 2026), signal fort de l'exploitation active en cours — des web shells de persistance ont été observés sur des serveurs compromis.
• Un serveur TeamCity compromis expose l'intégralité du pipeline CI/CD : secrets de déploiement, tokens d'accès cloud, artefacts de build — un point d'entrée unique pour une supply chain attack affectant potentiellement des centaines de clients en aval.