TeamCity frappé par une faille CVSS 9.8 — mettez à jour avant la première exploitation

27 juillet 2026, JetBrains publie un avis de sécurité. CVSS 9.8, le score maximal pour une faille exploitable à distance. Toutes les versions de TeamCity On-Premises sont concernées. En jeu : l’exécution de code arbitraire sans authentification sur le serveur qui compile, teste et déploie votre code. Le pire scénario pour une infrastructure CI/CD.

CVE-2026-63077 n’est pas la première brèche critique dans TeamCity, mais c’est la plus sévère depuis CVE-2024-27198 (CVSS 9.8 également, exploitée par des groupes étatiques russes en 2024). Le pattern est connu. Cette fois, aucun signe d’exploitation active n’a été détecté au moment de la publication. Ce répit ne durera pas.

Ce que fait CVE-2026-63077

La vulnérabilité réside dans le protocole de polling des agents TeamCity. Un attaquant disposant d’un accès HTTP(S) au serveur — même face à l’écran de connexion — peut contourner les vérifications d’authentification et exécuter des commandes système arbitraires avec les privilèges du processus serveur.

Le vecteur est brutalement simple. L’agent polling protocol est le canal par lequel les build agents s’enregistrent auprès du serveur TeamCity pour recevoir des tâches. CVE-2026-63077 permet de détourner ce canal sans présenter la moindre credentials. Une fois le code exécuté, l’attaquant accède aux données de configuration, aux secrets stockés (tokens Git, clés API, mots de passe de déploiement), aux artefacts de build et potentiellement à l’intégralité des pipelines CI/CD en aval.

JetBrains précise que la compromission peut s’étendre bien au-delà du serveur lui-même : « modify server state, and potentially compromise the integrity of build artifacts and downstream CI/CD pipelines ». Autrement dit, un attaquant qui contrôle votre TeamCity contrôle ce qui arrive en production.

La faille a été découverte et signalée de manière privée le 10 juillet 2026 par le chercheur Antoni Tremblay, dans le cadre de la politique de divulgation coordonnée de JetBrains. Le correctif a été intégré dans les versions 2025.11.7 et 2026.1.3, publiées le 27 juillet.

TeamCity Cloud n’est pas concerné : les correctifs ont été appliqués côté JetBrains avant la publication de l’avis. Les instances auto-hébergées restent entièrement exposées.

TeamCity, cible récurrente des attaquants de CI/CD

Ce n’est pas la première fois que TeamCity se retrouve au cœur d’une alerte critique. Le serveur CI/CD de JetBrains est une cible privilégiée pour une raison simple : il détient les clés du royaume logiciel.

En décembre 2023, CVE-2023-42793 (CVSS 9.8) permettait déjà une exécution de code à distance non authentifiée. Elle a été exploitée massivement par APT29 (Cozy Bear), le groupe rattaché au SVR russe, pour compromettre des environnements de build et rebondir vers des cibles finales.

En mars 2024, CVE-2024-27198 et CVE-2024-27199 (CVSS 9.8 et 7.3) ouvraient à nouveau la porte aux attaquants. Des affiliés ransomware les ont utilisées pour déployer des charges malveillantes via les pipelines de build. CVE-2024-27198 permettait de créer un compte administrateur sans authentification préalable.

Le 10 mai 2026, CVE-2026-44413 (score non communiqué, sévérité high) exposait une partie de l’API TeamCity à des utilisateurs non autorisés après authentification. Moins critique mais symptomatique d’une surface d’attaque large.

La récurrence n’est pas un hasard. Un serveur CI/CD est un point de passage obligé entre le code source et la production. Le compromettre, c’est injecter du code malveillant dans les artefacts signés, voler les secrets de déploiement, ou simplement cartographier l’infrastructure interne. JetBrains le reconnaît lui-même dans son avis : « Even exposing the TeamCity login screen or REST API can provide attackers with potential entry points. »

La surface d’attaque est d’autant plus large que TeamCity s’intègre nativement avec la quasi-totalité de l’écosystème de développement : GitHub, GitLab, Bitbucket, Docker, Kubernetes, AWS, Azure. Chaque intégration est un jeton d’accès stocké dans la configuration du serveur. Une compromission expose donc non seulement le code, mais les credentials de l’ensemble de la chaîne outillée. Dans un contexte où SLSA et les attestations de provenance deviennent la norme, un build corrompu au niveau du serveur CI/CD invalide toute la chaîne de confiance en aval.

Le CISA américain maintient d’ailleurs TeamCity dans son catalogue KEV (Known Exploited Vulnerabilities) depuis l’épisode CVE-2023-42793. L’agence impose aux entités fédérales américaines un patching sous 21 jours pour toute vulnérabilité ajoutée au KEV. CVE-2026-63077 n’y figure pas encore, mais son score et son vecteur la rendent éligible dès la première exploitation confirmée.

Comment se protéger

Deux options de mitigation sont proposées par JetBrains. La première est la seule recommandable à long terme.

Option 1 : Mettre à jour (recommandé)

Installez la version 2025.11.7 ou 2026.1.3. Les deux branches corrigent CVE-2026-63077.

# Vérifier la version actuelle
cat /opt/teamcity/VERSION.txt

# Téléchargement manuel
wget https://download.jetbrains.com/teamcity/TeamCity-2026.1.3.tar.gz

# Ou mise à jour automatique depuis l'interface d'administration
# Administration > Updates > Check for updates

La mise à jour automatique est disponible directement depuis l’interface d’administration de TeamCity (Administration → Updates).

Option 2 : Appliquer le patch de sécurité

Pour les serveurs TeamCity 2017.1 et ultérieurs qui ne peuvent pas être mis à jour immédiatement, un security patch plugin est disponible. Il ne corrige que CVE-2026-63077 — pas les autres vulnérabilités corrigées dans les versions récentes.

• TeamCity 2017.1 à 2018.1 : le redémarrage du serveur est requis après installation.
• TeamCity 2018.2 et ultérieur : le plugin s’active sans redémarrage.
• TeamCity 2024.03 et ultérieur : le plugin est téléchargé automatiquement et notifié aux administrateurs via Administration → Updates → Available security updates.

Mesures complémentaires

Au-delà du correctif ponctuel, JetBrains recommande plusieurs bonnes pratiques structurelles :

• Ne pas exposer TeamCity sur Internet. Si votre serveur est accessible publiquement, placez-le derrière un VPN ou une couche d’authentification supplémentaire. L’écran de connexion seul est une surface d’attaque.
• Exécuter le serveur avec des privilèges minimaux. Le processus TeamCity ne devrait jamais tourner en root.
• Isoler le serveur des agents de build sur des machines distinctes. Une compromission du serveur ne doit pas donner un accès direct aux environnements d’exécution des builds.
• Restreindre l’accès réseau aux plages d’adresses de confiance uniquement.

Verdict

CVE-2026-63077 est une faille de niveau drop-everything. Si vous hébergez TeamCity On-Premises et que votre serveur est accessible sur un réseau autre que localhost, appliquez le correctif aujourd’hui. Le fait qu’aucune exploitation active ne soit connue au 28 juillet 2026 est une fenêtre, pas une garantie.

Si votre instance est exposée sur Internet sans VPN, la mise à jour est critique dans l’heure. L’historique de TeamCity montre que les attaquants — étatiques comme criminels — surveillent ces annonces et automatisent l’exploitation en moins de 48 heures. CVE-2023-42793 avait été exploitée en production dans les cinq jours suivant la divulgation.

Pour les organisations qui ne peuvent pas patcher immédiatement, le security patch plugin est un pis-aller acceptable, à condition de planifier la mise à jour complète dans les sept jours. Le plugin ne couvre qu’une vulnérabilité ; les versions récentes de TeamCity incluent des dizaines d’autres correctifs de sécurité.

TeamCity Cloud n’est pas concerné. Si vous hésitez encore entre Cloud et On-Premises, cette énième faille critique pèse lourd dans la balance.

Références

• JetBrains — Critical Security Issue Affecting TeamCity On-Premises (CVE-2026-63077), 27 juillet 2026
• The Hacker News — Critical TeamCity Flaw Could Let Attackers Run OS Commands Without Logging In, 28 juillet 2026
• Help Net Security — JetBrains fixes critical unauthenticated RCE in TeamCity On-Premises (CVE-2026-63077), 28 juillet 2026
• CISA — Russian Foreign Intelligence Service (SVR) Exploiting JetBrains TeamCity CVE, décembre 2023
• BleepingComputer — CVE-2024-27198 TeamCity flaw exploited by ransomware gangs, mars 2024