Błąd w serwerze TeamCity pozwala bez logowania wykonać część działań administracyjnych, np. podmienić certyfikat HTTPS. CISA potwierdza ataki, także ransomware. Zaktualizuj serwer i wymień zapisane w nim hasła.
Ten alert jest dla zarządu, CTO i CFO firm, które same wytwarzają oprogramowanie albo zlecają to partnerowi korzystającemu z serwera JetBrains TeamCity. Werdykt: jeśli TeamCity On-Premises działa w wersji starszej niż 2023.11.4, zaktualizuj go dziś i sprawdź, czy ktoś już nie był w środku, bo CISA wiąże tę lukę z kampaniami ransomware.
Amerykańska agencja CISA 20 kwietnia 2026 roku dopisała do katalogu KEV podatność CVE-2024-27199 w serwerze JetBrains TeamCity. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach. W polu dotyczącym kampanii ransomware wpisano „Known”, czyli potwierdzone użycie.
TeamCity to serwer ciągłej integracji: automat, który pobiera kod programistów, składa z niego aplikację, testuje ją i wysyła na serwery produkcyjne. Luka typu „przejście po ścieżce” pozwala osobie bez konta ominąć logowanie do części funkcji administracyjnych. Według Rapid7, firmy, która błąd wykryła, napastnik może między innymi odczytać część informacji o serwerze i podmienić jego certyfikat HTTPS na własny.
Poprawka jest dostępna od marca 2024 roku. Termin naprawy wyznaczony przez CISA agencjom federalnym minął 4 maja 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-27199 |
Data dodania do CISA KEV | 2026-04-20 |
Termin naprawy wg CISA | 2026-05-04 (14 dni od wpisu) |
Produkt | JetBrains TeamCity On-Premises (serwer instalowany u siebie). TeamCity Cloud został załatany przez producenta |
Wersje zagrożone | Wszystkie wersje TeamCity On-Premises do 2023.11.3 włącznie, dostępne dla atakującego przez HTTP lub HTTPS |
Wersje bezpieczne | 2023.11.4 i nowsze; najnowsze wydanie to 2026.2 (2 września 2026). Dla starszych wersji producent udostępnił wtyczkę z poprawką bezpieczeństwa |
Typ podatności | Przejście po ścieżce (path traversal) prowadzące do obejścia uwierzytelnienia dla ograniczonych działań administracyjnych; CWE-23 (producent, KEV), CWE-22 (NVD) |
Ocena CVSS | 7.3 WYSOKA (CVSS 3.1, producent i NVD). Atak przez sieć, bez logowania i bez udziału użytkownika; wpływ na poufność, integralność i dostępność oceniony jako niski |
Wyobraź sobie recepcję biurowca, która roznosi przesyłki wyłącznie do pokoi na parterze. Ktoś wpisuje w rubryce adresata „parter, a potem dwa piętra wyżej, drugie drzwi po prawej”. Recepcjonistka wykonuje polecenie dosłownie, bo nikt jej nie powiedział, że wolno chodzić tylko na parter. Przesyłka trafia do gabinetu zarządu, do którego nadawca nie miał wstępu.
Tak działał ten błąd. Serwer TeamCity miał publiczne katalogi dostępne bez logowania. Odpowiednio zbudowany adres z zapisem „katalog wyżej” prowadził z publicznej części do stron administracyjnych, a serwer nie sprawdzał, czy ktoś ma do nich prawo. Sama luka daje ograniczony zakres działań, ale dotyczy serwera, na którym leżą kod źródłowy firmy, hasła do środowisk produkcyjnych i prawo do wgrywania nowych wersji aplikacji.
💡 Ciągła integracja (CI/CD) to automatyczne budowanie, testowanie i wdrażanie aplikacji po każdej zmianie w kodzie. Przejście po ścieżce (path traversal) to sztuczka z adresem, która wyprowadza aplikację poza dozwolony katalog. Certyfikat HTTPS potwierdza tożsamość serwera i szyfruje połączenie; kto go podmieni, może podszyć się pod serwer lub podsłuchiwać ruch. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Osoba z internetu otwiera stronę TeamCity | Widzi ekran logowania | Może dostać się do części stron administracyjnych bez hasła |
Certyfikat HTTPS serwera | Zmienia go tylko administrator | Napastnik może wgrać własny certyfikat |
Informacje o serwerze | Dostępne tylko dla zalogowanych | Część informacji do odczytania bez logowania |
Hasła do produkcji zapisane w TeamCity | Chronione logowaniem | Ryzyko ich ujawnienia rośnie, zwłaszcza w połączeniu z CVE-2024-27198 |
Dział IT | Widzi nieudane logowania | Nie widzi prób logowania, bo ich nie było |
źródło: freepikPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak dotyczy serwerów TeamCity dostępnych dla napastnika przez sieć, najczęściej wystawionych do internetu. CISA ocenia go jako możliwy do zautomatyzowania, a szczegóły techniczne Rapid7 opublikował w dniu wydania poprawki. W praktyce ta luka rzadko występuje sama: ta sama aktualizacja usuwa krytyczną CVE-2024-27198 (pełne przejęcie serwera), więc serwer podatny na jedną jest zwykle podatny na obie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Automatyczne skanowanie internetu w poszukiwaniu serwerów TeamCity (domyślnie port 8111) i odczyt wersji | Lista podatnych serwerów |
2. Wejście | T+kilka minut | Wysłanie spreparowanych adresów do stron administracyjnych bez logowania | Odczyt informacji o serwerze, możliwość zmian w konfiguracji |
3. Rozszerzenie dostępu | T+kilkadziesiąt minut | Podmiana certyfikatu HTTPS lub wykorzystanie drugiej luki z tej samej poprawki do założenia konta administratora | Kontrola nad serwerem lub ruchem do niego |
4. Kradzież sekretów | T+1 do 24 godzin | Pobranie kodu źródłowego, haseł i kluczy do produkcji, chmury i repozytoriów | Dostęp do systemów firmy i jej klientów |
5. Utrwalenie | T+1 do 7 dni | Dodanie własnych kont, kroków budowania lub agentów | Ukryty dostęp, który przetrwa zmianę hasła |
6. Szantaż lub atak na klientów | T+1 do 4 tygodni | Szyfrowanie danych (ransomware) albo wstawienie złośliwego kodu do aplikacji wysyłanej klientom | Przestój, żądanie okupu, atak na łańcuch dostaw |
Mogę Ci jakoś pomóc?
Ocena CVSS 7.3 wygląda umiarkowanie, bo opisuje tylko jeden krok. Dla zarządu ważniejsze jest, co stoi na tym serwerze: kod źródłowy, hasła do produkcji i droga, którą nowe wersje trafiają do klientów. Dlatego przejęcie serwera budującego bywa groźniejsze niż przejęcie strony internetowej.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymane wdrożenia, konieczność przebudowy serwera i wymiany wszystkich haseł | Godziny do dni | 30 tys. do 250 tys. PLN (przestój zespołu, odtworzenie środowiska) |
Bezpieczeństwo danych | Kradzież kodu źródłowego, kluczy i haseł do produkcji oraz chmury | Godziny od wejścia | 30 tys. do 200 tys. PLN (analiza powłamaniowa, rotacja sekretów) |
Finansowy | Okup, kary umowne od klientów, koszty zewnętrznych specjalistów, rachunki za nadużyte zasoby chmury | Dni do tygodni | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów, jeśli zmieniona aplikacja trafiła do nich jako aktualizacja | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań); roszczenia klientów z umów | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z TeamCity On-Premises
starszym niż 2023.11.4, dostępnym z internetu
Wpływ
5 | . . . . .
4 | . . . . ■ ← WYSOKIE / KRYTYCZNE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest bardzo wysokie (atak automatyczny, publiczne szczegóły, potwierdzone użycie w ransomware), a wpływ samej luki jest ograniczony, ale rośnie do wysokiego, bo na tym serwerze leżą klucze do produkcji; serwer zaktualizowany i niedostępny z internetu jest poza zasięgiem tego ataku.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy w firmie lub u partnera działa TeamCity On-Premises i w jakiej wersji | Dziś | Kierownik zespołu programistów |
2 | 🔴 NATYCHMIAST | Jeśli wersja jest starsza niż 2023.11.4, a serwer jest dostępny z internetu: odciąć dostęp z zewnątrz do czasu aktualizacji (zalecenie producenta) | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Zaktualizować TeamCity do najnowszej wersji albo, jeśli to niemożliwe, zainstalować wtyczkę z poprawką od JetBrains | Dziś | Administrator / DevOps |
4 | 🟠 PILNIE | Sprawdzić listę kont administratorów, certyfikat HTTPS, zainstalowane wtyczki i agentów pod kątem zmian, których nikt nie zlecał | Do 3 dni | DevOps / zespół bezpieczeństwa |
5 | 🟠 PILNIE | Wymienić hasła, tokeny i klucze zapisane w TeamCity (repozytoria, chmura, serwery produkcyjne) | Do 7 dni | DevOps |
6 | 🟠 PILNIE | Przejrzeć logi serwera od marca 2024 roku pod kątem nietypowych adresów i zapytań bez logowania | Do 7 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Ustalić stałą odpowiedzialność za aktualizacje narzędzi deweloperskich i subskrypcję powiadomień JetBrains | Do 30 dni | CTO |
Producent wydał poprawkę (wersja 2023.11.4, dziś najnowsza jest 2026.2) oraz wtyczkę z poprawką dla starszych wersji, więc brak aktualizacji nie jest dobrym powodem, żeby zostawić serwer podatny. Do czasu wdrożenia pomagają poniższe środki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wtyczka z poprawką bezpieczeństwa od JetBrains (dla wersji do 2023.11.3) | Wysoka: usuwa obie luki z marca 2024 roku | Łatwa, ale nie zastępuje pełnej aktualizacji |
Odcięcie serwera od internetu (zalecenie producenta, jeśli nie da się od razu załatać) | Wysoka wobec ataków z zewnątrz | Średnia: programiści pracujący zdalnie potrzebują VPN |
Ograniczenie dostępu do listy znanych adresów IP | Średnia | Średnia |
Monitorowanie zmian kont administratorów i certyfikatu | Niska jako ochrona, przydatna do wykrycia włamania | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp do funkcji administracyjnych | Część możliwa bez logowania | Tylko po zalogowaniu z uprawnieniami |
Widoczność serwera | Często otwarty dla całego internetu | Dostępny tylko przez VPN lub z zaufanych adresów |
Hasła i klucze do produkcji | Mogły zostać skopiowane | Wymienione, stare unieważnione |
Wiedza o włamaniu | Brak | Sprawdzone konta, certyfikat, wtyczki i logi |
Zgodność z wymogami | Zaległość wobec terminu CISA z 4 maja 2026 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA oceniła wykorzystanie jako aktywne już 4 marca 2024 roku |
Grupy przestępcze | Brak publicznych informacji o nazwach grup dla tej konkretnej luki |
Kampanie ransomware | TAK (CISA KEV: Known), bez wskazania konkretnych kampanii |
Ocena CVSS | 7.3 WYSOKA (CVSS 3.1, JetBrains i NVD) |
PoC dostępny publicznie? | TAK, Rapid7 opublikował szczegóły techniczne w marcu 2024 roku, a NVD wskazuje publiczny kod ataku dla pary luk z tej poprawki |
Liczba atakowanych firm | Brak publicznych informacji dla CVE-2024-27199 |
Automatyzacja ataku | TAK (ocena CISA) |
Prognoza EPSS | Ponad 0,99, czyli praktycznie maksimum skali szansy wykorzystania w ciągu 30 dni (wg analizy źródłowej) |
Powiązana luka | CVE-2024-27198 (obejście uwierzytelnienia, pełne przejęcie serwera) usunięta tą samą aktualizacją, w katalogu KEV od marca 2024 roku |
Sygnały zagrożenia dla CVE-2024-27199
CVSS 3.1 (NVD) 7.3/10 ███████████████░░░░░ WYSOKA
EPSS (próba w 30 dni) >99% ████████████████████ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana
Automatyzacja (CISA) TAK ████████████████████ masowe skanowanie
Mogę Ci jakoś pomóc?
2024-02 Rapid7 zgłasza JetBrains dwie luki w TeamCity
2024-03-03 JetBrains wydaje TeamCity 2023.11.4 z poprawką
2024-03-04 Publikacja CVE-2024-27199 i szczegółów Rapid7
2024-03-04 CISA ocenia wykorzystanie jako aktywne
2026-04-20 CISA dodaje lukę do katalogu KEV, ransomware: Known
2026-05-04 Termin naprawy wg CISA dla agencji federalnych
2026-09-02 Wydanie TeamCity 2026.2
... ponad 4 miesiące od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta z wersjami i wtyczką z poprawką: blog JetBrains o CVE-2024-27198 i CVE-2024-27199 . Lista poprawek bezpieczeństwa JetBrains: jetbrains.com/privacy-security/issues-fixed . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-27199 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub jej partner programistyczny używa TeamCity On-Premises | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: wersja TeamCity i czy serwer jest dostępny z internetu | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację lub odcięcie serwera od internetu | CTO | DZISIAJ |
4 | Zlecić przegląd kont, certyfikatu i logów oraz wymianę haseł zapisanych w TeamCity | CTO | DO JUTRA |
5 | Zapytać partnera programistycznego na piśmie, czy jego serwery budujące są załatane | CTO | DO JUTRA |
6 | Zarezerwować budżet na ewentualną analizę powłamaniową | CFO | DO JUTRA |
7 | Sprawdzić umowy z klientami i polisę cyberubezpieczenia pod kątem obowiązku zgłaszania incydentów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaką wersję TeamCity On-Premises mamy na każdym serwerze, także testowym? | [wersja] | 🔴 |
2 | Czy którykolwiek serwer TeamCity jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Kiedy zainstalowaliśmy wersję 2023.11.4 lub nowszą albo wtyczkę z poprawką? | [data] | 🔴 |
4 | Czy sprawdziliśmy konta administratorów, certyfikat HTTPS i wtyczki pod kątem nieautoryzowanych zmian? | TAK / NIE | 🟠 |
5 | Kiedy ostatnio wymieniliśmy hasła i tokeny zapisane w TeamCity? | [data] | 🟠 |
6 | Czy mamy logi serwera TeamCity sięgające marca 2024 roku? | TAK / NIE | 🟠 |
7 | Kto dostaje powiadomienia JetBrains o nowych wersjach i poprawkach bezpieczeństwa? | [osoba] | 🟡 |
CVE-2024-27199 pozwala bez logowania wykonać część działań administracyjnych na serwerze JetBrains TeamCity, w tym podmienić jego certyfikat HTTPS. CISA potwierdza wykorzystanie luki, także w kampaniach ransomware, a poprawka jest dostępna od marca 2024 roku, więc aktualizacja, odcięcie serwera od internetu i wymiana zapisanych w nim haseł to zadania na dziś i ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.