JetBrains TeamCity : RCE sans auth CVE-2026-63077 (CVSS 9.8) — CISA KEV

Les faits

Le 27 juillet 2026, JetBrains a publié un advisory de sécurité pour CVE-2026-63077, une vulnérabilité de désérialisation non sécurisée affectant les versions on-premises de JetBrains TeamCity. Avec un score CVSS de 9.8 et un vecteur d'attaque réseau sans authentification, la faille a immédiatement été identifiée comme une priorité absolue. Le 5 août 2026, la CISA (Cybersecurity and Infrastructure Security Agency) confirmait l'exploitation active en ajoutant CVE-2026-63077 à son catalogue KEV, avec une date limite de remédiation au 8 août pour les agences fédérales américaines — un délai de seulement 3 jours.

JetBrains TeamCity est l'une des plateformes de CI/CD (Intégration Continue / Déploiement Continu) les plus utilisées dans le monde, employée par des équipes de développement dans tous les secteurs — banque, industrie, défense, éditeurs logiciels. Sa position stratégique dans la chaîne de développement en fait une cible de premier choix pour les acteurs malveillants cherchant à mener des attaques de supply chain : compromettre le serveur CI/CD, c'est potentiellement compromettre tous les logiciels qu'il produit et déploie.

Techniquement, la vulnérabilité est une désérialisation de données non approuvées (CWE-502 — Deserialization of Untrusted Data). Elle affecte spécifiquement le protocole de polling des agents TeamCity — le mécanisme par lequel les agents de build se connectent au serveur pour récupérer des tâches. Ce protocole est accessible via HTTP ou HTTPS sans authentification préalable. Un attaquant peut envoyer des données sérialisées malveillantes sur ce endpoint, qui sont désérialisées sans validation suffisante par le serveur, conduisant à l'exécution de commandes OS avec les privilèges du processus serveur TeamCity.

Selon l'analyse détaillée publiée par Rapid7, l'exploitation est d'une simplicité inquiétante : elle ne requiert ni compte valide, ni accès VPN, ni position particulière sur le réseau interne — uniquement la capacité d'atteindre le serveur TeamCity via HTTP/HTTPS. Dans la majorité des déploiements d'entreprise, le serveur TeamCity est accessible depuis le réseau interne, voire depuis Internet pour les équipes distribuées. Selon Qualys ThreatPROTECT, les premières tentatives d'exploitation dans la nature ont débuté dès le 31 juillet 2026, soit quatre jours après la publication du correctif.

L'historique de TeamCity en matière de vulnérabilités critiques est préoccupant et constitue un pattern. En mars 2024, les CVE-2024-27198 et CVE-2024-27199 avaient permis à des groupes APT russes — dont APT29, affilié au SVR russe — de compromettre des serveurs TeamCity pour mener des attaques d'espionnage et de supply chain. L'histoire se répète avec CVE-2026-63077 : les serveurs TeamCity exposés continuent d'être des vecteurs d'entrée privilégiés pour des acteurs cherchant à s'insérer dans les pipelines CI/CD et à compromettre les artefacts logiciels avant leur déploiement en production.

La rapidité du catalogage KEV par la CISA — 9 jours après la publication du patch — signale la gravité perçue de la menace. Pour la Cloud Security Alliance, qui a publié une note de recherche le 6 août, ce délai indique que des acteurs étatiques ou para-étatiques sont probablement impliqués dans les premières exploitations observées. CISA a imposé aux agences fédérales américaines un délai de 3 jours pour appliquer le correctif, ce qui est la durée la plus courte jamais accordée depuis la création du catalogue KEV en novembre 2021.

Les versions affectées sont toutes les versions on-premises de JetBrains TeamCity antérieures à 2025.11.7 et 2026.1.3. Les versions depuis 2017.1 peuvent bénéficier d'un plugin de correctif de sécurité publié par JetBrains pour les organisations ne pouvant pas effectuer une mise à jour complète immédiate. TeamCity Cloud (offre SaaS hébergée par JetBrains) n'est pas affecté — JetBrains avait déployé le correctif sur son infrastructure cloud avant la divulgation publique.

En plus de la mise à jour, les experts recommandent d'auditer immédiatement les logs du serveur TeamCity depuis le 27 juillet pour détecter des requêtes suspectes sur le protocole de polling des agents, et de vérifier l'intégrité des artefacts produits (binaires, images Docker, packages) depuis cette date. Une compromission du serveur peut avoir conduit à une modification silencieuse des builds qui sont ensuite partis en production.

Impact et exposition

Tout serveur JetBrains TeamCity on-premises non patché est vulnérable. L'exposition est directement corrélée à l'accessibilité réseau : les instances accessibles depuis Internet sont à risque d'exploitation immédiate. Les instances internes sont également vulnérables depuis le réseau interne — pertinent en cas de compromission latérale ou de menace interne. Les conséquences vont de la compromission du serveur lui-même à l'injection de code malveillant dans les builds, permettant des attaques de supply chain contre tous les logiciels produits par l'organisation.

Recommandations

• Immédiat : Mettre à jour JetBrains TeamCity vers 2025.11.7 ou 2026.1.3 sans délai
• Si la mise à jour complète n'est pas immédiatement possible, installer le plugin de correctif de sécurité disponible pour TeamCity depuis la version 2017.1
• Désactiver ou filtrer l'accès Internet au serveur TeamCity en attendant le patch — un VPN suffit pour les équipes distribuées
• Auditer les logs du serveur depuis le 27 juillet 2026 pour détecter des requêtes suspectes sur le endpoint de polling des agents
• Vérifier l'intégrité des artefacts produits depuis fin juillet : binaires, images Docker, packages NPM/Maven — une compromission peut avoir introduit du code malveillant dans vos builds
• Revoir la segmentation réseau des serveurs CI/CD : un serveur de build n'a pas vocation à être exposé sans restriction