CISA cảnh báo lỗ hổng RCE TeamCity CVE-2026-63077 đang bị khai thác
"CISA reported that CVE-2026-63077, a critical TeamCity deserialization vulnerability with a CVSS score of 9.8, is being actively exploited in the wild. The flaw affects on-premises JetBrains TeamCity and can allow an unauthenticated attacker to bypass authentication and execute arbitrary OS commands via the agent polling protocol; users are advised to patch immediately, with U.S. federal agencies given an August 8, 2026 deadline under KEV guidance."
Rủi ro thực thi mã từ xa trên máy chủ TeamCity on-premises; có thể dẫn đến lộ dữ liệu, rò rỉ thông tin xác thực và ảnh hưởng chuỗi CI/CD.
Có thể gây gián đoạn quy trình build/release, làm suy giảm tính toàn vẹn artifact và tăng nguy cơ ảnh hưởng dây chuyền tới hệ thống phát triển, triển khai.
Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA) cho biết lỗ hổng CVE-2026-63077 trong JetBrains TeamCity đang bị khai thác ngoài thực tế. Đây là lỗi deserialization of untrusted data với CVSS 9.8, ảnh hưởng đến các bản TeamCity on-premises và có thể cho phép kẻ tấn công không cần xác thực vượt qua cơ chế đăng nhập, sau đó thực thi lệnh hệ điều hành từ xa thông qua agent polling protocol.
Theo JetBrains, mức độ ảnh hưởng phụ thuộc vào quyền của tiến trình TeamCity server process. Nếu khai thác thành công, kẻ tấn công có thể truy cập dữ liệu TeamCity, cấu hình, thông tin xác thực đã lưu, thay đổi trạng thái máy chủ và làm ảnh hưởng đến tính toàn vẹn của build artifacts cũng như các CI/CD pipelines liên quan.
Hiện chưa có thông tin về tác nhân tấn công, quy mô chiến dịch hoặc cách thức khai thác cụ thể. Tuy vậy, CISA đã đưa lỗ hổng vào KEV catalog và yêu cầu các cơ quan liên bang ưu tiên xử lý theo BOD 26-04. Tổ chức đang vận hành TeamCity on-premises nên cập nhật bản vá ngay, rà soát nhật ký truy cập, kiểm tra dấu hiệu bất thường và hạn chế bề mặt tấn công của máy chủ CI/CD.