TeamCity Sicherheitslücke CVE-2026-63077: jetzt patchen

JetBrains warnt vor einer kritischen TeamCity Sicherheitslücke: Die Schwachstelle CVE-2026-63077 erlaubt es, ohne gültige Anmeldung beliebige Betriebssystem-Befehle auf dem Server auszuführen. Betroffen sind laut Hersteller alle On-Premises-Versionen von TeamCity. Wer den CI/CD-Server selbst betreibt, sollte sofort auf eine korrigierte Fassung aktualisieren.

TeamCity Sicherheitslücke: unauthentifizierte Codeausführung

CVE-2026-63077 ist eine unauthentifizierte Remote-Code-Execution (RCE). Ein Angreifer mit HTTP(S)-Zugang zum TeamCity-Server kann über das sogenannte Agent-Polling-Protokoll die Authentifizierung umgehen und Befehle mit den Rechten des Server-Prozesses ausführen. Ein Konto oder Adminrechte braucht es dafür nicht. Das Fachportal The Hacker News beziffert den CVSS-Score auf 9.8 – also im obersten kritischen Bereich.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Gemeldet wurde der Fehler bereits am 10. Juli 2026 durch den Sicherheitsforscher Antoni Tremblay im Rahmen einer koordinierten Offenlegung. Das öffentliche Advisory folgte Ende Juli, gemeinsam mit den fehlerbereinigten Versionen.

Warum CI/CD-Server ein lohnendes Ziel sind

Ein TeamCity-Server ist kein beliebiger Webdienst. Er verwaltet Build-Konfigurationen, gespeicherte Zugangsdaten und Artefakte. Wer ihn übernimmt, kann laut JetBrains TeamCity-Daten und Konfigurationen offenlegen, den Serverzustand verändern und im schlimmsten Fall die Integrität von Build-Artefakten und nachgelagerten CI/CD-Pipelines untergraben. Damit wird aus einer einzelnen Lücke schnell ein Supply-Chain-Risiko – ähnlich wie bei der jüngsten GitLab-Lücke auf Self-Managed-Servern.

Diese Versionen schließen die Lücke

JetBrains hat den Fehler in zwei Ausgaben behoben:

• TeamCity 2025.11.7
• TeamCity 2026.1.3

Wer nicht sofort aktualisieren kann, dem stellt JetBrains ein Security-Patch-Plugin für TeamCity 2017.1 und neuer bereit. Es schließt gezielt diese eine Lücke, ersetzt aber kein vollständiges Update. Kunden von TeamCity Cloud müssen nichts tun – dort wurde der Fix bereits eingespielt, und JetBrains sieht keine Hinweise auf eine Ausnutzung der Cloud-Umgebungen.

Aktiv ausgenutzt? Noch nicht – aber die Uhr tickt

Zum Zeitpunkt des Advisories war JetBrains keine aktive Ausnutzung bekannt. Das ist allerdings keine Entwarnung: Bei einer unauthentifizierten RCE mit öffentlich beschriebenem Angriffsweg ist es meist nur eine Frage der Zeit, bis funktionierende Exploits auftauchen. Genau deshalb gilt: jetzt patchen, nicht später.

Als dauerhafte Absicherung empfiehlt JetBrains, den Netzwerkzugriff auf TeamCity-Server auf vertrauenswürdige Netze zu begrenzen, den Server mit möglichst geringen Betriebssystem-Rechten laufen zu lassen und ihn getrennt von den Build-Agents auf einem eigenen Host zu betreiben. Ein direkt aus dem Internet erreichbarer Anmeldebildschirm ist bereits ein Einfallstor.

Quellen

• JetBrains Blog: Critical Security Issue Affecting TeamCity On-Premises (CVE-2026-63077)
• The Hacker News: Critical TeamCity Flaw Could Let Attackers Run OS Commands Without Logging In
• Help Net Security: TeamCity RCE (CVE-2026-63077) fixed