Krytyczna luka w JetBrains TeamCity On-Premises pozwala bez hasła przejąć serwer CI/CD razem z kluczami do chmury i repozytoriów. Jest aktywnie wykorzystywana, a ofiarą padła nawet usługa Cadence producenta. Sprawdzamy, co musi zrobić firma.
TeamCity to serwer, który buduje, testuje i wydaje oprogramowanie firmy. Luka CVE-2026-63077 pozwala przejąć go przez sieć bez żadnego hasła. Nie jest to scenariusz teoretyczny: w sierpniu 2026 roku przez niezałatany serwer TeamCity włamano się do usługi Cadence należącej do samego producenta, firmy JetBrains. Ten tekst pokazuje, co to oznacza dla Twojej firmy i jakie decyzje trzeba podjąć.
W skrócie: jeśli Twoja firma utrzymuje własny serwer TeamCity (wersja On-Premises), sprawdź dziś, czy ma wersję 2025.11.7, 2026.1.3 lub nowszą albo zainstalowaną wtyczkę bezpieczeństwa. Klienci TeamCity Cloud nie muszą nic robić.
Amerykańska agencja CISA wpisała CVE-2026-63077 do katalogu Known Exploited Vulnerabilities (KEV) 5 sierpnia 2026 roku. Katalog KEV zawiera wyłącznie luki, dla których istnieją dowody wykorzystania w realnych atakach. Agencja dała instytucjom federalnym zaledwie 3 dni na reakcję, co jest sygnałem wyjątkowej pilności.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-63077 (w bazie ENISA: EUVD-2026-49369, alias GHSA-94gx-v738-fx9w) |
Data dodania do CISA KEV | 5 sierpnia 2026 |
Termin naprawy wg CISA (dueDate) | 8 sierpnia 2026 |
Produkt | JetBrains TeamCity On-Premises (serwer CI/CD instalowany u klienta) |
Wersje zagrożone | wszystkie wersje On-Premises poniżej 2025.11.7 oraz gałąź 2026.1 poniżej 2026.1.3 |
Wersje bezpieczne | 2025.11.7, 2026.1.3 i nowsze; dla starszych wydań od 2017.1 wtyczka bezpieczeństwa fix_CVE_2026_63077 |
TeamCity Cloud | nie wymaga działań, producent zabezpieczył usługę |
Typ podatności | deserializacja niezaufanych danych (CWE-502) w protokole odpytywania agentów |
Ocena CVSS | 9,8/10, krytyczna (CVSS 3.1, wektor AV:N/AC:L/PR:N/UI:N, ocena wystawiona przez JetBrains) |
Wymóg triażu śledczego w KEV | tak (flaga forensicTriage) |
Użycie w kampaniach ransomware wg CISA | nieznane (Unknown) |
Luka została zgłoszona producentowi prywatnie 10 lipca 2026 roku przez badacza Antoniego Tremblaya. JetBrains opublikował poprawkę i komunikat 27 lipca 2026, zaznaczając wtedy, że nie wie o aktywnych atakach. Kilka dni później to się zmieniło.
Ważna różnica wobec starszych opisów tej luki: CISA wymaga nie tylko aktualizacji, ale też przeprowadzenia triażu śledczego, czyli sprawdzenia, czy do włamania już nie doszło. Sama łatka nie usuwa skutków ataku, który nastąpił wcześniej.
Wyobraź sobie zakład produkcyjny, w którym brygadziści (agenty budowania) co kilka sekund podchodzą do okienka kierownika zmiany (serwer TeamCity) i pytają o kolejne zlecenie. Kierownik przyjmuje od nich raporty w zapieczętowanych kopertach, otwiera je i wykonuje to, co jest w środku.
Problem polega na tym, że do okienka może podejść ktokolwiek z ulicy, przedstawić się jako nowy brygadzista i podać kopertę. Kierownik nie sprawdza dokładnie zawartości, więc zamiast raportu wykonuje instrukcję włamywacza, na przykład "otwórz sejf z kluczami do wszystkich magazynów". A w sejfie serwera TeamCity leżą hasła do repozytoriów kodu, chmury i systemów wdrożeniowych.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Kto rozmawia z serwerem | zatwierdzone agenty budowania firmy | każdy, kto ma dostęp do adresu serwera przez HTTP(S) |
Czy trzeba się zalogować | tak, dla operacji administracyjnych | nie, atak omija uwierzytelnienie |
Co serwer robi z danymi | przyjmuje wyłącznie oczekiwane typy danych | składa także spreparowane obiekty i uruchamia kod |
Kto kontroluje serwer | zespół IT firmy | atakujący, z uprawnieniami procesu TeamCity |
Kto ma dostęp do sekretów | pipeline'y firmy | atakujący: klucze chmury, tokeny Git, hasła do rejestrów |
Co trafia do klientów | oprogramowanie zbudowane z kodu firmy | potencjalnie zmodyfikowane artefakty |
Słowniczek: CI/CD to zautomatyzowana linia produkcyjna oprogramowania, która buduje, testuje i wdraża kod. Agent to maszyna wykonująca zadania zlecone przez serwer. Deserializacja to rozpakowywanie przesłanych danych z powrotem w obiekty programu. RCE (zdalne wykonanie kodu) oznacza uruchomienie dowolnych poleceń na cudzym serwerze przez sieć.
Dlaczego serwer CI/CD jest wyjątkowo cenny: to jedno miejsce, w którym zbiegają się kod źródłowy, poświadczenia do chmury i prawo do publikowania nowych wersji oprogramowania.
Mechanizm ataku jest publicznie znany. 7 sierpnia 2026 roku Rapid7 opublikował szczegółową analizę oraz skrypt proof-of-concept. Według tej analizy atakujący rejestruje fałszywego agenta, wysyła spreparowany dokument XML do punktu, w którym agenty zgłaszają błędy, a serwer podczas jego przetwarzania zapisuje na dysku plik webshella z rozszerzeniem .jspws. Potem wystarczy ten plik wywołać, by wykonać dowolne polecenie.
Timeline ataku:
Mogę Ci jakoś pomóc?
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1 | T+0 min | Automatyczne skanowanie internetu w poszukiwaniu serwerów TeamCity | Lista celów z dostępnym adresem HTTP(S) |
2 | T+1 min | Rejestracja fałszywego agenta (JetBrains ostrzega przed nieautoryzowanymi agentami o nazwach zaczynających się od "scan") | Atakujący otrzymuje identyfikator sesji agenta |
3 | T+2 min | Wysłanie spreparowanego XML przez protokół odpytywania agentów | Serwer deserializuje dane i wykonuje łańcuch ataku |
4 | T+3 min | Zapis webshella .jspws w katalogu aplikacji i jego wywołanie | Wykonanie poleceń systemu z uprawnieniami serwera TeamCity |
5 | T+1 godz. | Odczyt konfiguracji, kopii zapasowych i zapisanych poświadczeń | Kradzież kluczy chmury, tokenów Git, haseł do rejestrów pakietów |
6 | Dni lub tygodnie | Użycie skradzionych sekretów poza serwerem, możliwa podmiana artefaktów | Włamanie do chmury, repozytoriów i łańcucha dostaw |
Ślady, które zostawia atak (według JetBrains i Rapid7):
Wskaźnik | Gdzie szukać | Co oznacza |
|---|---|---|
com.thoughtworks.xstream.converters.ConversionException | logi serwera TeamCity (teamcity-server.log) | możliwa próba lub udany atak na niezałataną wersję, wymaga analizy |
com.thoughtworks.xstream.security.ForbiddenClassException | logi serwera po aktualizacji lub instalacji wtyczki | próba ataku zablokowana przez poprawkę |
org.hsqldb.HsqlException ze ścieżką pliku .jspws | logi serwera | ślad próby zapisu webshella |
Nieautoryzowani agenci o nazwach zaczynających się od "scan" | panel TeamCity, lista agentów nieautoryzowanych | serwer był osiągalny dla atakującego; datę ustalaj z logów, nie z listy agentów |
Nieznane pliki .jspws w katalogu aplikacji | katalog webapps/ROOT serwera | możliwy webshell, sygnał do pełnej analizy śledczej |
Czasy w tabeli timeline'u są orientacyjne. Według oceny SSVC wykonanej przez CISA atak można w pełni zautomatyzować, a jego wpływ techniczny jest totalny, więc etapy 1-4 mogą zająć minuty. Atak nie wymaga kliknięcia przez pracownika ani żadnego konta.
Realny przykład: JetBrains Cadence. Według komunikatu JetBrains z 28 sierpnia 2026 roku atakujący wykorzystali tę lukę na serwerze usługi Cadence (chmurowe uruchamianie projektów PyCharm). Włamanie trwało od 8 do 24 sierpnia, a wykryto je 23 sierpnia. Producent przyznał wprost, że serwer powinien był zostać załatany w ramach reakcji na podatność, ale nie został. Wyciekły między innymi dane użytkowników, kopia zapasowa serwera z 2024 roku, poświadczenia AWS IAM, pliki z zasobników S3 oraz sekrety do GitHub, GitLab, npm, PyPI, Docker Hub i innych usług. Wniosek dla zarządu: skoro zdarzyło się to producentowi narzędzia, zdarzyć się może każdemu.
Konkretne scenariusze zagrożenia:
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymanie wydań i wdrożeń, odbudowa serwera CI i agentów | Godziny | 20 000-80 000 PLN za dzień przestoju zespołu developerskiego |
Bezpieczeństwo danych | Wyciek kodu, sekretów i danych osobowych z kopii zapasowych | Minuty do godzin | 150 000-1 000 000 PLN (analiza śledcza, rotacja sekretów, powiadomienia) |
Finansowy | Nadużycie kont chmurowych, np. koparki kryptowalut lub kradzież danych | Godziny do dni | 10 000-500 000 PLN rachunku za chmurę |
Łańcuch dostaw | Dystrybucja zainfekowanego oprogramowania do klientów | Dni do tygodni | 500 000 PLN i więcej, roszczenia klientów i kary umowne |
Reputacyjny | Utrata zaufania klientów kupujących oprogramowanie lub usługi | Tygodnie | 5-20% odejść klientów w najgorszym scenariuszu |
Prawny | Kary RODO, obowiązki zgłoszeniowe NIS2, pozwy | Miesiące | RODO: do 20 mln EUR lub 4% rocznego światowego obrotu |
Powyższe kwoty to szacunki poglądowe dla małej lub średniej firmy, a nie dane z konkretnego incydentu; jedynie limit kar RODO jest faktem prawnym.
Macierz ryzyka (pozycja CVE-2026-63077 dla firmy z serwerem TeamCity dostępnym z internetu):
Wpływ
5 | ■ ← CVE-2026-63077: KRYTYCZNA
4 | ■ ■
3 | ■ ■ ■
2 | ■ ■ ■ ■
1 | ■ ■ ■ ■ ■
+---------------------
1 2 3 4 5 Prawdopodobieństwo
Prawdopodobieństwo 5: potwierdzone ataki (CISA KEV, JetBrains, ACSC),
publiczny PoC, EPSS 0,865 (13.09.2026)
Wpływ 5: pełna kontrola nad serwerem i sekretami CI/CD Jeżeli serwer jest dostępny wyłącznie w sieci wewnętrznej, prawdopodobieństwo spada, ale nie do zera: atakujący, który ma już przyczółek w sieci, może użyć tej samej techniki.
Zestawienie przed i po wdrożeniu działań:
Obszar | Przed (niezałatany serwer w internecie) | Po (aktualizacja, VPN, rotacja sekretów) |
|---|---|---|
Dostęp do serwera | każdy z internetu może wysłać dane do protokołu agentów | tylko zaufane sieci i własne agenty |
Podatność CVE-2026-63077 | aktywna, istnieje publiczny PoC | usunięta w 2025.11.7 lub 2026.1.3 |
Sekrety CI/CD | potencjalnie znane atakującemu | nowe klucze, stare unieważnione |
Wiedza o incydencie | brak, ślady ukryte w logach | logi przejrzane, alerty na próby ataku |
Ryzyko w macierzy | wpływ 5, prawdopodobieństwo 5 | wpływ 5, prawdopodobieństwo 1-2 |
Mogę Ci jakoś pomóc?
Priorytet | Działanie | Termin | Odpowiedzialny | Status |
|---|---|---|---|---|
🔴 NATYCHMIAST | Inwentaryzacja: wszystkie instancje TeamCity On-Premises i ich wersje, także testowe i "zapomniane" | Dzisiaj | IT Manager | ☐ |
🔴 NATYCHMIAST | Aktualizacja do 2025.11.7 lub 2026.1.3 (albo nowszej) | Dzisiaj | Administrator TeamCity | ☐ |
🔴 NATYCHMIAST | Jeśli aktualizacja niemożliwa: instalacja wtyczki bezpieczeństwa (TeamCity 2017.1+) | Dzisiaj | Administrator TeamCity | ☐ |
🔴 NATYCHMIAST | Czasowe odcięcie serwera od internetu do momentu załatania | Dzisiaj | IT Security | ☐ |
🟠 PILNIE | Przegląd logów pod kątem ConversionException, HsqlException i plików .jspws | 24-48h | Incident Response | ☐ |
🟠 PILNIE | Przegląd listy nieautoryzowanych agentów (nazwy zaczynające się od "scan") | 24-48h | Administrator TeamCity | ☐ |
🟠 PILNIE | Jeśli są ślady ataku: rotacja wszystkich sekretów przechowywanych w TeamCity | 48h | DevOps + Security | ☐ |
🟡 WAŻNIE | Dostęp do serwera tylko przez VPN, proces TeamCity z minimalnymi uprawnieniami, serwer oddzielony od agentów | W ciągu tygodnia | Architekt IT | ☐ |
🟡 WAŻNIE | Monitoring logów i alerty na ForbiddenClassException (próby ataku po załataniu) | W ciągu tygodnia | SOC | ☐ |
Jeśli aktualizacja nie jest dostępna:
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wtyczka bezpieczeństwa JetBrains dla wersji 2017.1+ (usuwa tylko tę lukę) | ok. 95-99% dla tej luki | Wysoka |
Odcięcie serwera od internetu, dostęp tylko przez VPN | ok. 90-95% wobec ataków z internetu | Średnia |
Ograniczenie ruchu do serwera wyłącznie z adresów IP własnych agentów | ok. 85-95% | Średnia |
Reguły WAF lub reverse proxy blokujące protokół agentów z niezaufanych adresów | ok. 60-80% | Średnia |
Wyłączenie serwera do czasu aktualizacji | 100% | Wysoka, ale zatrzymuje wydania |
Wartości efektywności to szacunki poglądowe, a nie wyniki testów. Wtyczka i ograniczenia sieciowe nie zastępują docelowej aktualizacji, bo nowsze wersje zawierają także inne poprawki bezpieczeństwa.
Uwaga dla zarządu: aktualizacja chroni przed nowymi atakami, ale nie usuwa skutków wcześniejszych. Serwer, który był niezałatany i dostępny z internetu po 27 lipca 2026, trzeba sprawdzić pod kątem kompromitacji.
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK: CISA KEV (5.08.2026), JetBrains potwierdził zgłoszenia ataków i prób ataków, australijskie ACSC odnotowało ataki w Australii |
Grupy przestępcze | brak publicznie potwierdzonych danych o sprawcach |
Kampanie ransomware | brak publicznie potwierdzonych danych; CISA oznacza ten związek jako nieznany |
Ocena CVSS | 9,8/10 (KRYTYCZNA) |
PoC dostępny publicznie? | TAK: skrypt Rapid7 opublikowany 7 sierpnia 2026 na GitHubie |
Liczba atakowanych firm | brak publicznie potwierdzonych danych; znany z nazwy przypadek to usługa JetBrains Cadence |
EPSS (prawdopodobieństwo wykorzystania) | 0,865, wyżej niż ok. 99,7% ocenianych luk (FIRST, 13 września 2026) |
Kontekst historyczny | wcześniejsze luki TeamCity CVE-2023-42793 i CVE-2024-27198 są w KEV oznaczone jako używane w kampaniach ransomware |
Historia tego produktu jest ważną wskazówką. Według wspólnego alertu CISA, FBI i NSA z grudnia 2023 roku (AA23-347A) poprzednią krytyczną lukę TeamCity, CVE-2023-42793, wykorzystywała rosyjska służba wywiadu zagranicznego SVR. Nie ma dowodów, że ta sama grupa stoi za atakami na CVE-2026-63077, ale pokazuje to, jak atrakcyjnym celem są serwery CI/CD.
Wskaźnik EPSS wyraźnie reaguje na zdarzenia: 23 sierpnia wynosił 0,120, a 24 sierpnia skoczył do 0,847, czyli w dniu zakończenia włamania do Cadence i alertu ACSC.
Linia czasu incydentu:
2026-07-10: Antoni Tremblay prywatnie zgłasza lukę do JetBrains
2026-07-27: Publikacja CVE-2026-63077, wersje 2025.11.7 i 2026.1.3, wtyczka
JetBrains: "brak wiedzy o aktywnym wykorzystaniu"
2026-08-05: CISA dodaje lukę do katalogu KEV, termin 3 dni
2026-08-07: JetBrains potwierdza zgłoszenia ataków i publikuje wskaźniki
Rapid7 publikuje analizę i PoC
2026-08-08: Termin CISA; początek włamania do JetBrains Cadence
2026-08-23: JetBrains wykrywa atak na Cadence
2026-08-24: Koniec aktywności w Cadence; alert ACSC; EPSS rośnie do 0,847
2026-08-28: JetBrains ujawnia incydent Cadence
2026-09-14: TUTAJ JESTEŚMY - 49 dni od łatki, sprawdź serwer natychmiast! Oficjalne źródła do pobrania poprawek:
Mogę Ci jakoś pomóc?
Checklist dla CTO/CFO:
✓ | Zadanie | Kto | Deadline |
|---|---|---|---|
☐ | Potwierdzić listę wszystkich serwerów TeamCity On-Premises i ich wersje | IT Manager | DZISIAJ |
☐ | Pobrać wersję 2025.11.7 lub 2026.1.3 albo wtyczkę z https://www.jetbrains.com/teamcity/download/ | Administrator TeamCity | DZISIAJ |
☐ | Wykonać kopię zapasową i test aktualizacji na kopii serwera | QA / DevOps | DZISIAJ |
☐ | Zakomunikować zespołom developerskim okno serwisowe CI/CD | Project Manager | DZISIAJ |
☐ | Wdrożyć aktualizację na produkcyjnym serwerze CI | DevOps | DO JUTRA |
☐ | Sprawdzić logi teamcity-server.log i listę nieautoryzowanych agentów | SOC | DO JUTRA |
☐ | W razie śladów ataku uruchomić rotację sekretów i zawiadomić zespół prawny (RODO, NIS2) | CISO + Dział prawny | DO JUTRA |
☐ | Potwierdzić sukces wdrożenia i zamknąć serwer za VPN | IT Manager | W CIĄGU TYGODNIA |
☐ | Zatwierdzić budżet na przegląd bezpieczeństwa łańcucha CI/CD | CFO | W CIĄGU MIESIĄCA |
Aktualizację można również uruchomić z poziomu panelu TeamCity (opcja automatycznej aktualizacji), a od wersji 2024.03 serwer sam pobiera dostępne wtyczki bezpieczeństwa i pokazuje je w sekcji Administration > Updates.
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy TeamCity On-Premises, czy TeamCity Cloud? | On-Premises / Cloud / nie używamy | 🔴 |
2 | Która dokładnie wersja jest zainstalowana i czy jest niższa niż 2025.11.7 lub 2026.1.3? | numer wersji | 🔴 |
3 | Czy serwer TeamCity jest osiągalny z internetu? | TAK / NIE | 🔴 |
4 | Czy w logach są wpisy ConversionException, HsqlException lub pliki .jspws? | TAK / NIE | 🔴 |
5 | Jakie sekrety przechowuje TeamCity (chmura, Git, rejestry pakietów)? | lista | 🟠 |
6 | Czy potrafimy zrotować wszystkie te sekrety w ciągu 24 godzin? | TAK / NIE | 🟠 |
7 | Czy mamy włączone powiadomienia o wtyczkach bezpieczeństwa TeamCity? | TAK / NIE | 🟠 |
8 | Czy korzystamy z zewnętrznej firmy utrzymującej CI/CD i czy potwierdziła załatanie? | TAK / NIE | 🟠 |
9 | Czy proces TeamCity działa z minimalnymi uprawnieniami, na hoście innym niż agenty? | TAK / NIE | 🟡 |
10 | Czy mamy plan reagowania na incydent obejmujący łańcuch dostaw oprogramowania? | TAK / NIE | 🟡 |
Matryca decyzyjna dla managera:
Sytuacja w firmie | Decyzja | Kto zatwierdza | Termin |
|---|---|---|---|
🔴 Wersja podatna, serwer dostępny z internetu | Odciąć od internetu, zaktualizować, uruchomić analizę śledczą i rotację sekretów | CTO | Dzisiaj |
🔴 Wersja podatna, w logach wskaźniki ataku | Tryb incydentu: izolacja serwera, zewnętrzny zespół IR, ocena obowiązku zgłoszenia do UODO | Zarząd + CISO | Dzisiaj, zgłoszenie do UODO w 72h od stwierdzenia naruszenia |
🟠 Wersja podatna, serwer tylko w sieci wewnętrznej | Aktualizacja lub wtyczka, przegląd logów | IT Manager | Do jutra |
🟡 Wersja bezpieczna od sierpnia 2026 | Jednorazowy przegląd logów z okresu 27.07 do daty aktualizacji | Administrator TeamCity | W ciągu tygodnia |
🟡 Tylko TeamCity Cloud | Brak działań wobec tej luki, przegląd dostępu do chmury | IT Manager | Przy najbliższym audycie |
Pytania diagnostyczne dla managera:
Najważniejsza lekcja z tej luki nie dotyczy tylko TeamCity. Nawet producent narzędzia, który sam wydał poprawkę, pominął jeden serwer i zapłacił za to wyciekiem sekretów. Dlatego pytanie dla zarządu brzmi nie "czy mamy łatkę", ale "czy wiemy o każdym serwerze, który jej potrzebuje, i czy sprawdziliśmy, że nikt nie wszedł wcześniej".
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.