TeamCity CVE-2026-63077 : RCE non-auth exploitee en masse

CVE-2026-63077 : de la divulgation a l'exploitation massive en deux semaines

Le 27 juillet 2026, JetBrains publiait discrètement un advisory pour CVE-2026-63077, une vulnerabilite de deserialisation de donnees non fiables affectant le protocole de polling des agents dans TeamCity On-Premises. A ce moment, l'editeur precisait ne pas avoir connaissance d'exploitation active dans la nature. Treize jours plus tard, la situation a radicalement change : la CISA a inscrit la vulnerabilite au catalogue des vulnerabilites exploitees connues (KEV) le 5 aout 2026, confirmant des attaques reelles contre des serveurs non patches. Les rapports d'exploitation active continuent d'affluer au moment de la redaction de cet article.

La faille, dont le score CVSS s'etablit a 9.8 sur 10, permet a un attaquant non authentifie disposant d'un acces HTTP ou HTTPS a un serveur TeamCity d'exploiter le protocole de polling des agents pour injecter des donnees serialisees malveillantes. Lorsque le serveur deserialise ces donnees sans validation appropriee, l'attaquant obtient l'execution de commandes OS arbitraires avec les privileges du processus TeamCity, typiquement un compte de service disposant d'un acces etendu aux secrets et artefacts de build. Aucune authentification, aucune interaction utilisateur et aucune configuration particuliere ne sont necessaires pour declencher l'exploitation.

Rapid7 a publie une analyse technique detaillee de la vulnerabilite, confirmant que l'exploitation est triviale pour un attaquant disposant des connaissances de base sur le protocole de polling TeamCity. Le vecteur d'attaque est particulierement preoccupant car il cible une fonctionnalite centrale de TeamCity qui ecoute en permanence sur les ports HTTP/HTTPS exposes. Dans les configurations par defaut, ce protocole est accessible depuis internet, ce qui elargit considerablement la surface d'attaque aux serveurs directement exposes, une topologie malheureusement courante dans les environnements de developpement ou la commodite prime sur la securite reseau.

La CISA a impose une deadline de remediation au 8 aout 2026, soit seulement trois jours apres l'inscription au KEV, un delai inhabituellement court qui temoigne de l'urgence evaluee par les autorites americaines. Cette obligation s'applique directement aux agences federales americaines, mais les autorites de cybersecurite recommandent a toutes les organisations d'aligner leurs pratiques sur ce referentiel. Au moment de la publication de cet article, cette echeance est depassee et des rapports multiples, dont celui de CybelAngel intitule "TeamCity Is Under Active Attack Right Now", continuent de signaler des tentatives d'exploitation actives contre des serveurs non mis a jour.

JetBrains a publie deux mises a jour correctives : TeamCity 2026.1.3 (build 222742) et TeamCity 2025.11.7 (build 208264). Pour les organisations ne pouvant pas proceder a une mise a jour immediate, JetBrains a egalement publie un plugin de securite intermediaire compatible avec TeamCity 2017.1 et versions ulterieures, permettant de mitiger la vulnerabilite sans migration complete vers une version majeure. Le blog JetBrains a publie le 9 aout une mise a jour supplementaire exhortant tous les clients a appliquer les correctifs sans delai, signalant que l'editeur continue de recevoir des rapports d'exploitation active.

Les donnees auxquelles un attaquant peut acceder sur un serveur TeamCity compromis sont particulierement sensibles dans le contexte d'un pipeline CI/CD. TeamCity stocke typiquement des tokens d'acces aux depots de code source (GitHub, GitLab, Bitbucket), des credentials cloud (AWS, Azure, GCP), des cles de signature et certificats numeriques, des secrets de deploiement, des configurations de build et des artefacts compiles. Un acteur malveillant ayant acces a ces elements peut exfiltrer l'ensemble de la propriete intellectuelle de l'organisation, mais aussi, dans le scenario le plus dangereux, modifier les artefacts de build pour y inserer du code malveillant avant leur distribution aux utilisateurs finaux.

SecurityWeek confirme que des attaquants ont deja commence a exploiter CVE-2026-63077 dans des campagnes organisees. Bien que les groupes specifiques n'aient pas encore ete publiquement attribues, les patterns observes, a savoir le balayage systematique des serveurs exposes via Shodan et Censys suivi d'une execution de commandes de reconnaissance et d'etablissement de persistance, sont coherents avec des acteurs a motivation financiere (groupes ransomware) ou etatique (espionnage de propriete intellectuelle). La nature des cibles, des environnements de developpement logiciel, pointe vers des acteurs cherchant soit a monetiser l'acces, soit a compromettre la chaine d'approvisionnement logicielle.

D'apres les estimations de chercheurs en securite s'appuyant sur des donnees Shodan et Censys, plusieurs milliers de serveurs TeamCity On-Premises restent accessibles directement depuis internet. Parmi ceux-ci, une fraction significative n'avait pas encore ete mise a jour au moment de l'inscription au KEV le 5 aout. Chaque serveur non patche represente non seulement un risque pour l'organisation qui l'opere, mais potentiellement pour tous ses clients et partenaires qui recoivent des artefacts logiciels produits par ce pipeline, un effet multiplicateur caracteristique des attaques de type supply chain.

Un vecteur d'attaque supply chain sous-estime dans les pratiques DevSecOps

CVE-2026-63077 illustre une tendance preoccupante identifiee depuis l'incident SolarWinds en 2020 : les plateformes CI/CD sont devenues des cibles de choix pour les acteurs malveillants souhaitant compromettre un grand nombre de victimes via un seul point d'entree. En prenant le controle d'un serveur TeamCity, un attaquant ne compromet pas seulement l'organisation hote, il accede potentiellement aux pipelines de deploiement qui alimentent des dizaines ou centaines de clients et partenaires en aval. Ce scenario de contamination en cascade est precisement ce qui a rendu l'attaque SolarWinds si devastatrice en 2020 : des milliers d'organisations ont ete compromises parce qu'un seul pipeline de build avait ete controle par des attaquants.

Pour les entreprises francaises, le risque est double. D'une part, les organisations utilisant TeamCity pour leurs propres pipelines sont directement exposees si leurs serveurs sont accessibles depuis internet sans authentification forte en amont. D'autre part, les entreprises faisant appel a des editeurs de logiciels ou prestataires IT utilisant TeamCity pourraient etre indirectement affectees si les logiciels ou librairies qu'elles utilisent sont distribues via un pipeline compromis. Cette dimension indirecte est particulierement difficile a detecter sans une chaine de tracabilite robuste des artefacts : SBOM (Software Bill of Materials), signatures cryptographiques et verification d'integrite systematique.

La reglementation europeenne commence a prendre en compte ces risques de facon concrete. La directive NIS2, en cours de transposition dans les Etats membres, impose aux operateurs essentiels et importants des obligations de securite des chaines d'approvisionnement logicielle, y compris l'evaluation des risques lies aux outils de developpement et de deploiement. DORA, applicable au secteur financier depuis 2025, va plus loin en exigeant des tests de resilience etendus aux prestataires tiers critiques. Dans ce contexte reglementaire, une vulnerabilite dans un outil CI/CD n'est plus seulement un probleme technique : c'est une exposition reglementaire potentielle pour tout RSSI ne pouvant pas demontrer une gestion proactive des correctifs critiques.

La detection a posteriori d'une compromission via CVE-2026-63077 est particulierement difficile. Les attaquants disposant d'un acces au serveur TeamCity peuvent effacer les logs, modifier les configurations de maniere subtile ou inserer du code dans les artefacts de build de facon a ne laisser aucune trace visible dans les pipelines eux-memes. Une reponse a incident efficace sur un serveur TeamCity potentiellement compromis doit inclure une verification complete de l'integrite des artefacts produits depuis le 27 juillet 2026, date de divulgation initiale, une rotation complete de tous les secrets stockes dans TeamCity, et une analyse forensique approfondie des logs systeme et reseau.

Ce qu'il faut retenir

• Mettre a jour immediatement vers TeamCity 2025.11.7 ou 2026.1.3 ; si impossible, deployer le plugin de securite intermediaire disponible pour les versions 2017.1 et ulterieures.
• Restreindre l'acces aux serveurs TeamCity depuis internet via pare-feu ou VPN : aucun serveur CI/CD ne devrait etre expose directement sur internet sans authentification forte en amont.
• Si le serveur etait expose entre le 27 juillet et la date du patch, verifier l'integrite des artefacts produits et proceder a une rotation complete de tous les secrets TeamCity (tokens VCS, credentials cloud, cles de signature).