Falha crítica no TeamCity expõe servidores a execução remota de código sem login
A plataforma de integração contínua TeamCity, da JetBrains, está no centro de um alerta de segurança classificado como crítico. Uma vulnerabilidade grave, identificada como CVE-2026-63077 e com pontuação CVSS de 9,8, permite que atacantes executem código remotamente em servidores locais sem necessidade de autenticação, abrindo caminho para o controle total do ambiente comprometido.
O que está em risco
A falha afeta todas as versões do TeamCity On-Premises e pode ser explorada por qualquer atacante com acesso HTTP ou HTTPS ao servidor vulnerável. Ao explorar o problema, o invasor consegue enviar comandos arbitrários ao sistema operacional com os mesmos privilégios do processo do servidor TeamCity. Em muitos cenários corporativos, esse processo roda com permissões elevadas, o que amplia drasticamente o impacto do ataque.
Na prática, isso significa que um agente mal-intencionado pode:
– Instalar backdoors e outros malwares
– Roubar credenciais de desenvolvedores e chaves de acesso a repositórios
– Alterar pipelines de build e inserir código malicioso em aplicações em desenvolvimento
– Movimentar-se lateralmente pela rede em direção a outros sistemas críticos
Como o TeamCity é comumente integrado a repositórios de código, servidores de artefatos e infraestrutura em nuvem, a exploração dessa vulnerabilidade pode se transformar em um ponto de comprometimento em cadeia, atingindo todo o ciclo de desenvolvimento e entrega de software.
Como a vulnerabilidade é explorada
Segundo informações divulgadas pela JetBrains, a falha reside no protocolo de polling utilizado pelos agentes do TeamCity. O atacante consegue explorar uma lógica defeituosa nesse mecanismo para contornar completamente as verificações de autenticação do servidor.
Isso significa que o invasor não precisa conhecer usuário ou senha, nem explorar senhas fracas ou vazadas. Basta que o servidor esteja acessível e vulnerável para que o ataque possa ser conduzido de forma remota, o que torna o problema particularmente perigoso para instâncias expostas diretamente à internet.
A vulnerabilidade foi reportada à JetBrains em 10 de julho de 2026 pelo pesquisador de segurança Antoni Tremblay. Até o momento da divulgação do alerta, a empresa afirma não ter evidências de exploração ativa. No entanto, o histórico de outras falhas no TeamCity que foram rapidamente incorporadas a campanhas maliciosas reforça a urgência da correção.
Dimensão do problema
O TeamCity é utilizado por mais de 30 mil clientes ao redor do mundo, incluindo organizações de diversos portes e setores. Em muitos casos, a ferramenta é um componente central da esteira de DevOps, responsável por compilar, testar e distribuir aplicações para ambientes de produção.
Isso faz com que uma vulnerabilidade desse tipo não afete apenas a infraestrutura interna, mas também possa comprometer diretamente o software entregue a clientes finais. Um pipeline de build manipulado, por exemplo, pode passar a distribuir versões contaminadas de um produto legítimo, sem que o usuário perceba.
Atualizações e correções disponibilizadas
A JetBrains já lançou correções oficiais que eliminam a vulnerabilidade CVE-2026-63077 nas seguintes versões:
– TeamCity 2025.11.7
– TeamCity 2026.1.3
Organizações que utilizam versões anteriores devem planejar uma atualização imediata para uma dessas releases corrigidas. Para clientes que, por razões operacionais, ainda não conseguem realizar um upgrade completo, a JetBrains disponibilizou um plugin de patch de segurança compatível com versões a partir da 2017.1.
Esse plugin tem o objetivo específico de mitigar a CVE-2026-63077, servindo como solução temporária até que a atualização plena seja possível. Ainda assim, a substituição por uma versão corrigida do produto continua sendo a medida mais recomendada em termos de segurança e suporte.
Usuários do TeamCity Cloud (versão em nuvem gerenciada pela JetBrains) não precisam adotar nenhuma ação adicional, pois as correções já foram aplicadas diretamente pela empresa na infraestrutura sob sua gestão.
Boas práticas recomendadas pela JetBrains
Além da instalação urgente das correções, a JetBrains reforça algumas medidas de segurança que devem ser adotadas em ambientes que utilizam o TeamCity:
– Restringir exposição à internet: evitar que o servidor TeamCity seja acessível diretamente a partir da internet pública, protegendo-o por VPN, proxy reverso ou outras camadas adicionais de controle de acesso.
– Privilégios mínimos: executar o serviço do TeamCity com o menor nível de privilégio possível, reduzindo o impacto em caso de comprometimento.
– Isolamento em host dedicado: manter o servidor do TeamCity em um host separado dos agentes de build e de outros serviços, limitando a superfície de ataque e a possibilidade de movimentação lateral.
– Cuidado com interfaces expostas: a própria tela de login e a API REST, quando expostas, podem servir como porta de entrada para exploração de falhas. Mesmo que a vulnerabilidade atual não dependa de credenciais, outras falhas podem se aproveitar desses pontos.
A empresa também indica que administradores entrem em contato com o suporte oficial em caso de dúvidas sobre o processo de atualização ou sobre a instalação do plugin de correção.
Como saber se seu ambiente está vulnerável
Para equipes de TI e segurança, um primeiro passo prático é:
1. Identificar todas as instâncias do TeamCity em uso, incluindo ambientes de teste, homologação e pipelines legados que possam ter sido esquecidos.
2. Verificar a versão instalada em cada servidor e compará-la com as versões corrigidas (2025.11.7 ou 2026.1.3).
3. Checar se há exposição externa, mapeando quais instâncias estão acessíveis a partir da internet ou de redes menos confiáveis.
4. Revisar configurações de permissão do processo do TeamCity e do sistema operacional subjacente.
Ambientes que rodam versões antigas, com acesso HTTP/HTTPS liberado e sem segmentação adequada de rede, devem ser tratados como prioridade máxima.
Medidas adicionais de defesa
Mesmo com a aplicação de patches, vale reforçar controles complementares:
– Segmentação de rede: colocar o TeamCity em uma rede segmentada, com regras de firewall permitindo acesso apenas de origens conhecidas (equipes de desenvolvimento, agentes de build, servidores específicos).
– Monitoramento e logs: intensificar a análise de registros de acesso e execução de tarefas no TeamCity, buscando comportamentos anômalos, como agentes desconhecidos, builds inesperados ou execuções fora de hora.
– Gestão de credenciais e segredos: revisar tokens, chaves SSH, senhas e integrações armazenadas no TeamCity, garantindo rotação de segredos em caso de suspeita de comprometimento.
– Testes de segurança recorrentes: incluir scanners de vulnerabilidade e testes de intrusão focados em ferramentas de CI/CD no ciclo de segurança da organização.
O papel crítico das ferramentas de CI/CD na superfície de ataque
Ferramentas como o TeamCity, Jenkins, GitLab CI e outras soluções de integração contínua se tornaram um alvo prioritário para atacantes. Esses sistemas concentram acesso a código-fonte, pipelines de build, credenciais de infraestrutura em nuvem e chaves de deploy.
Comprometer a ferramenta de CI/CD é, muitas vezes, mais vantajoso para o invasor do que atacar diretamente um servidor de aplicação isolado. A partir dela, é possível:
– Subverter o processo de entrega de software
– Escalar privilégios em múltiplos ambientes (dev, homologação, produção)
– Infectar toda a base de clientes de um fornecedor de software por meio de atualizações maliciosas
Por isso, a gestão de vulnerabilidades em plataformas de CI/CD precisa ser tratada como prioridade estratégica, não apenas como um detalhe operacional.
Lições para a gestão de vulnerabilidades
O caso da CVE-2026-63077 reforça alguns pontos importantes para equipes de segurança e de operações:
– Atualizações rápidas são essenciais: em ambientes críticos como CI/CD, o atraso na aplicação de patches pode abrir uma janela de oportunidade significativa para invasores.
– Inventário atualizado de ativos: é fundamental saber exatamente onde cada ferramenta está instalada, quais versões estão em uso e qual é a exposição de cada instância.
– Automação de correções: sempre que possível, integrar processos de atualização e correção às rotinas de gestão de configuração, reduzindo dependência de ações manuais.
– Integração entre Segurança e DevOps: times de desenvolvimento, operações e segurança precisam atuar juntos na definição de políticas de hardening e atualização dessas plataformas.
O que fazer a partir de agora
Para organizações que utilizam o TeamCity On-Premises, os próximos passos devem incluir:
1. Aplicar imediatamente as atualizações 2025.11.7 ou 2026.1.3 em todos os servidores, ou, em último caso, instalar o plugin de patch de segurança para versões 2017.1 ou superiores.
2. Restringir a exposição à internet, migrando o acesso ao TeamCity para redes internas, VPNs ou túneis seguros.
3. Reforçar o isolamento do ambiente, colocando o servidor em host e rede segmentados, com regras de acesso estritas.
4. Revisar logs e atividades recentes, buscando indícios de comportamentos fora do padrão que possam indicar tentativa de exploração.
5. Atualizar planos de resposta a incidentes, incluindo cenários de comprometimento de ferramentas de CI/CD.
A vulnerabilidade CVE-2026-63077 é um lembrete contundente de que a segurança do ciclo de desenvolvimento não termina no código: ela passa, necessariamente, pelas ferramentas que sustentam a automação, a compilação e a entrega contínua de software. Ignorar ou adiar correções em plataformas como o TeamCity pode transformar um componente estratégico da produtividade em um ponto crítico de entrada para ataques avançados.