JetBrains demande aux entreprises utilisant TeamCity sur leurs propres infrastructures de déployer sans délai les versions 2025.11.7 ou 2026.1.3. Une vulnérabilité notée 9,8 sur 10 permet à un attaquant non authentifié d’exécuter des commandes sur le serveur et peut compromettre les données, les identifiants ainsi que les artefacts produits par les chaînes CI/CD.
Toutes les versions de TeamCity On-Premises antérieures aux correctifs publiés le 27 juillet 2026 sont concernées par la faille CVE-2026-63077. Elle ne touche pas le service TeamCity Cloud, sur lequel JetBrains indique avoir déjà appliqué les mesures nécessaires.
La vulnérabilité a été signalée à l’éditeur le 10 juillet dans le cadre d’une divulgation coordonnée. JetBrains précise ne disposer, au moment de la publication de son alerte, d’aucun élément attestant d’une exploitation active.
Une prise de contrôle sans authentification
CVE-2026-63077 repose sur une désérialisation de données non fiables dans le protocole utilisé par TeamCity pour interroger ses agents. Un attaquant capable d’accéder au serveur en HTTP ou HTTPS peut contourner les contrôles d’authentification et lancer des commandes avec les privilèges du processus TeamCity. Aucune interaction avec un utilisateur ni aucun compte préalable ne sont nécessaires.
Le niveau de risque dépend des droits attribués au service sur la machine hôte. Une exploitation réussie peut donner accès aux configurations, aux données stockées et aux identifiants conservés par la plateforme. L’attaquant peut également modifier l’état du serveur ou altérer les artefacts issus des compilations.
Cette dernière possibilité rend la faille particulièrement sensible. TeamCity intervient au cœur des processus d’intégration et de déploiement continus. Un serveur compromis ne donne donc pas seulement accès à un outil interne, mais peut permettre d’introduire des modifications dans les logiciels ou les paquets distribués ensuite par l’entreprise.
Plus de vingt vulnérabilités corrigées
Les versions 2025.11.7 et 2026.1.3 corrigent CVE-2026-63077 ainsi que plus de vingt autres problèmes de sécurité chacune. JetBrains recommande donc une mise à jour complète plutôt que le traitement isolé de cette seule faille.
Les organisations qui ne peuvent pas migrer immédiatement disposent d’un plugin correctif compatible avec TeamCity 2017.1 et les versions suivantes. Sur les installations comprises entre 2017.1 et 2018.1, son activation nécessite un redémarrage du serveur. Les éditions plus récentes peuvent l’appliquer sans interruption.
Ce plugin protège uniquement contre CVE-2026-63077. Il ne remplace donc pas l’installation des dernières versions, qui embarquent les autres correctifs publiés par l’éditeur.
Réduire l’exposition des serveurs TeamCity
La faille ne peut être exploitée que si l’attaquant peut joindre le serveur TeamCity en HTTP ou HTTPS. JetBrains recommande de limiter cet accès aux réseaux de confiance, de placer les interfaces exposées derrière un VPN ou une couche de sécurité supplémentaire et d’exécuter le service avec les privilèges système strictement nécessaires.
L’éditeur conseille également de séparer le serveur TeamCity des agents de compilation. Cette architecture réduit les possibilités de déplacement entre les composants si l’un d’eux est compromis. Les entreprises doivent enfin vérifier que l’interface de connexion et l’API REST ne sont pas accessibles publiquement sans nécessité opérationnelle.
