Lỗ hổng TeamCity On-Premises cho phép RCE không cần xác thực (CVE-2026-63077)
"JetBrains disclosed a critical unauthenticated remote code execution vulnerability in TeamCity On-Premises, tracked as CVE-2026-63077 with a CVSS score of 9.8. The issue can let an attacker bypass authentication via the agent polling protocol and run arbitrary OS commands as the TeamCity server process; fixes are available in TeamCity 2025.11.7 and 2026.1.3, along with a security patch plugin for versions 2017.1+."
Nguy cơ cao do RCE không cần xác thực (CVE-2026-63077) có thể dẫn tới thực thi lệnh OS với quyền của tiến trình máy chủ TeamCity; kèm khả năng bypass xác thực qua agent polling protocol.
Nếu bị khai thác, sự cố có thể gây gián đoạn quy trình CI/CD và làm lộ cấu hình/credential hoặc thay đổi trạng thái máy chủ, ảnh hưởng trực tiếp đến vận hành và tuân thủ.
JetBrains công bố một lỗ hổng bảo mật mức độ nghiêm trọng trong TeamCity On-Premises có thể dẫn đến thực thi mã từ xa (RCE) mà không cần đăng nhập. Sự cố được gán CVE-2026-63077 với CVSS 9.8 và ảnh hưởng đến toàn bộ phiên bản TeamCity On-Premises.
Theo thông báo, kẻ tấn công có quyền truy cập qua HTTP(S) có thể bypass xác thực thông qua agent polling protocol, từ đó thực thi lệnh hệ điều hành tùy ý với quyền của tiến trình máy chủ TeamCity. Tùy theo mức quyền của tiến trình này, kẻ tấn công có thể làm lộ dữ liệu, cấu hình và thông tin bí mật đã lưu, hoặc thay đổi trạng thái máy chủ.
JetBrains đã phát hành bản sửa lỗi trong TeamCity 2025.11.7 và 2026.1.3; các phiên bản TeamCity Cloud đã được cập nhật. Đồng thời có security patch plugin cho các phiên bản 2017.1+ dành cho trường hợp không thể nâng cấp ngay. Không có dấu hiệu cho thấy lỗ hổng đã bị khai thác ngoài thực tế.
Khuyến nghị: ưu tiên nâng cấp lên phiên bản mới nhất, hạn chế truy cập từ Internet bằng VPN hoặc lớp kiểm soát bổ sung, và tránh để cổng đăng nhập/REST API của TeamCity mở trực tiếp ra Internet.