Was ist passiert

Am 27. Juli 2026 veröffentlichte JetBrains eine Sicherheitswarnung zu CVE-2026-63077, einer kritischen Schwachstelle in TeamCity On-Premises, der self-hosted-Variante seiner CI/CD-Plattform. Ein unauthentifizierter Angreifer mit Netzwerkzugriff auf den Server kann darüber Betriebssystembefehle mit den Rechten des TeamCity-Serverprozesses ausführen – ganz ohne gültiges Benutzerkonto. Der CVSS-Wert von 9.8 markiert nahezu die höchste praktisch vergebene Kritikalitätsstufe. TeamCity Cloud ist von der Lücke nicht betroffen, da JetBrains dort selbst für den Betrieb verantwortlich ist; wer TeamCity aber selbst hostet, war ab dem Tag der Veröffentlichung im Wettlauf mit potenziellen Angreifern.

Zunächst gab JetBrains an, keine Hinweise auf aktive Ausnutzung zu haben. Das änderte sich innerhalb weniger Tage: Am 5. August 2026 nahm die US-Cybersicherheitsbehörde CISA die Lücke in ihren Katalog aktiv ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) auf – eine Einstufung, die ausschließlich für Schwachstellen mit belegter realer Ausnutzung vergeben wird. Am 7. August folgte ein weiteres JetBrains-Update mit zusätzlicher Anleitung zur Kompromittierungsprüfung, nachdem Berichte über aktive und versuchte Angriffe eingegangen waren.

Die technische Lücke: Deserialisierung im Agent-Polling-Protokoll

TeamCity-Server kommunizieren mit ihren Build-Agents über ein sogenanntes Polling-Protokoll: Agents fragen in regelmäßigen Abständen beim Server an, ob neue Build-Aufträge vorliegen. CVE-2026-63077 sitzt genau in diesem Kommunikationsweg. Die Schwachstelle ist als Deserialisierung nicht vertrauenswürdiger Daten klassifiziert (CWE-502) – eine Schwachstellenklasse, bei der eine Anwendung empfangene Daten in Objekte umwandelt, ohne vorher zu prüfen, ob diese Daten überhaupt vom erwarteten Absender stammen oder unschädlich sind. Genau das passiert hier: Ein Angreifer kann über den Polling-Endpunkt präparierte Daten einschleusen. Der Server deserialisiert sie, bevor eine Authentifizierung überhaupt greift, und führt dabei letztlich vom Angreifer kontrollierten Code aus. Die Kombination aus fehlender Anmeldepflicht, Netzwerk-Erreichbarkeit als einziger Voraussetzung und vollständigem Verlust von Vertraulichkeit, Integrität und Verfügbarkeit erklärt den CVSS-Wert von 9.8 (Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Für die Ausnutzung braucht ein Angreifer weder Rechte auf dem System noch eine Interaktion durch echte Nutzer:innen – lediglich HTTP(S)-Zugriff auf den Server.

Warum ausgerechnet ein CI/CD-Server so ein lohnendes Ziel ist

Ein TeamCity-Server ist kein x-beliebiger Anwendungsserver, sondern der zentrale Knotenpunkt der Softwarelieferkette. Auf ihm laufen Build-Konfigurationen zusammen, dort liegen häufig Zugangsdaten zu Repositories, Cloud-Umgebungen und Registries, und von dort aus werden Artefakte signiert und in Produktivsysteme ausgerollt. Der Security-Forschungsblog Rapid7 stuft die Lücke deshalb ausdrücklich als Risiko für die gesamte Software-Lieferkette ein: Wer einen TeamCity-Server kompromittiert, kann potenziell auf Quellcode zugreifen, gespeicherte Zugangsdaten auslesen, Signiermaterial für Software-Updates missbrauchen und sich Wege in nachgelagerte Deployment-Umgebungen verschaffen. Im schlimmsten Fall lassen sich darüber manipulierte Build-Artefakte in die eigene Softwareverteilung einschleusen – ein klassisches Supply-Chain-Szenario, wie es in den vergangenen Jahren bereits mehrfach reale CI/CD-Systeme getroffen hat.

Zeitleiste: von der Meldung zur aktiven Ausnutzung

Der Ablauf der vergangenen drei Wochen zeigt, wie schnell aus einer verantwortungsvoll offengelegten Schwachstelle eine aktiv ausgenutzte Bedrohung werden kann. Am 27. Juli veröffentlichte JetBrains die Sicherheitswarnung samt gepatchten Versionen, zu diesem Zeitpunkt ohne Hinweise auf Ausnutzung in freier Wildbahn. Am 5. August folgte die Aufnahme in den CISA-KEV-Katalog – der offizielle Beleg, dass Angreifer die Lücke inzwischen tatsächlich einsetzen. Nur zwei Tage später, am 7. August, veröffentlichte JetBrains ein weiteres Update mit dem ausdrücklichen Hinweis auf gemeldete aktive und versuchte Ausnutzung sowie zusätzlicher technischer Anleitung, wie Betreiber eine mögliche Kompromittierung ihrer Server erkennen können. Sicherheitsmedien berichteten in der Folge übereinstimmend über zunehmende Scan- und Exploit-Versuche gegen ungepatchte Installationen.

CISA KEV und die Drei-Tage-Frist: was BOD 26-04 bedeutet

Mit der Aufnahme in den KEV-Katalog setzte CISA für US-Bundesbehörden eine Frist bis zum 8. August 2026 – gerade einmal drei Tage. Möglich macht das die im Jahr 2026 eingeführte Direktive BOD 26-04, die Schwachstellen anhand von vier Kriterien bewertet: ob die betroffenen Systeme öffentlich erreichbar sind, ob die Lücke im KEV-Katalog gelistet ist, ob sich die Ausnutzung automatisieren lässt, und wie hoch der technische Schaden im Erfolgsfall ausfällt. Erfüllt eine Schwachstelle alle vier Kriterien, greift die kürzeste Fristenstufe der Direktive. CVE-2026-63077 erfüllt sie: TeamCity-Server sind häufig aus praktischen Gründen aus dem Internet erreichbar, die Lücke steht im KEV-Katalog, ein Exploit lässt sich ohne größeren Aufwand automatisieren, und der mögliche Schaden reicht bis zur vollständigen Serverübernahme. Auch wenn die Frist formal nur für US-Bundesbehörden gilt, ist sie ein deutliches Signal für alle Betreiber: Hier zählt nicht die übliche Patch-Routine, sondern sofortiges Handeln.

Wer betroffen ist – und wer nicht

Betroffen sind alle Versionen von TeamCity On-Premises vor 2025.11.7 beziehungsweise vor 2026.1.3 – praktisch der gesamte Bestand an selbst gehosteten Installationen, die nicht bereits im Juli oder August aktualisiert wurden. TeamCity Cloud, JetBrains' gehostete Variante, ist nicht betroffen; wer ausschließlich diese Variante nutzt, muss nicht tätig werden. Für Organisationen, die aus Kompatibilitäts- oder Change-Management-Gründen nicht sofort auf die gepatchten Versionen wechseln können, stellt JetBrains zusätzlich ein Sicherheits-Patch-Plugin bereit, das sich auf Installationen ab Version 2017.1 aufspielen lässt und die Lücke schließt, ohne das komplette Server-Upgrade vorwegzunehmen.

Sofortmaßnahmen für Administrator:innen

An erster Stelle steht das Upgrade auf 2025.11.7 oder 2026.1.3 – dort ist die Deserialisierungslücke im Agent-Polling-Protokoll geschlossen. Wo ein sofortiges Upgrade organisatorisch nicht möglich ist, sollte übergangsweise das Sicherheits-Patch-Plugin zum Einsatz kommen. Parallel dazu lohnt sich ein Blick auf die Netzwerkexposition: TeamCity-Server, die aktuell direkt aus dem Internet erreichbar sind, sollten zumindest kurzfristig hinter ein VPN oder eine IP-Allowlist gelegt werden, bis der Patch eingespielt ist. Da CISA und JetBrains bereits von aktiver Ausnutzung berichten, empfiehlt es sich außerdem, nicht nur zu patchen, sondern auch rückwirkend zu prüfen, ob der Server bereits kompromittiert wurde – dazu mehr im nächsten Abschnitt.

Kompromittierung erkennen: worauf jetzt zu achten ist

JetBrains nennt in der Guidance vom 7. August konkrete Anhaltspunkte für eine mögliche Kompromittierung: ungewöhnliche oder unbekannte Build-Agent-Verbindungen, unerwartete Prozesse, die vom TeamCity-Serverprozess aus gestartet wurden, sowie neue oder veränderte Benutzerkonten und Zugriffstoken, die nicht auf reguläre Administrationstätigkeit zurückzuführen sind. Betreiber sollten Server- und Zugriffslogs der vergangenen Wochen gezielt auf solche Auffälligkeiten durchsehen – insbesondere im Zeitraum seit dem 27. Juli, dem Tag der ursprünglichen Offenlegung. Wer Hinweise auf eine Kompromittierung findet, sollte nicht nur patchen, sondern auch sämtliche auf dem Server gespeicherten Zugangsdaten, API-Schlüssel und Signaturmaterial als potenziell offengelegt behandeln und rotieren.

Einordnung: was gesichert ist und was noch offen bleibt

Gesichert sind der technische Mechanismus der Lücke, die betroffenen Versionen, die verfügbaren Patches sowie die Tatsache, dass CISA aktive Ausnutzung bestätigt hat – all das stammt direkt aus den JetBrains-Advisories und dem CISA-KEV-Katalog. Offen bleibt dagegen, wie viele Server tatsächlich kompromittiert wurden und welche Angreifergruppen konkret dahinterstecken; belastbare, öffentlich bestätigte Zahlen dazu liegen bislang nicht vor, entsprechende Angaben sollten also mit Vorsicht behandelt werden. Sicherheitsforscher gehen davon aus, dass automatisierte Scan- und Exploit-Kits die Lücke in den kommenden Wochen breiter aufgreifen werden, darunter möglicherweise auch Ransomware-Gruppen – das ist zum jetzigen Zeitpunkt allerdings eine Einschätzung, keine bestätigte Beobachtung.

  • FAQ:Ist mein TeamCity-Server betroffen, wenn ich TeamCity Cloud nutze?Nein. CVE-2026-63077 betrifft ausschließlich TeamCity On-Premises, also selbst gehostete Installationen. TeamCity Cloud wird von JetBrains selbst betrieben und ist von dieser Lücke nicht betroffen.Reicht es, den Server hinter eine Firewall zu stellen, statt zu patchen?Eine eingeschränkte Netzwerkerreichbarkeit reduziert das Risiko kurzfristig, ersetzt aber nicht das Update. Da bereits aktive Ausnutzung bestätigt ist und interne Netzwerke ebenfalls kompromittiert werden können, sollte das Patchen auf 2025.11.7, 2026.1.3 oder das Sicherheits-Patch-Plugin trotzdem so schnell wie möglich erfolgen.Woran erkenne ich, ob mein Server bereits angegriffen wurde?JetBrains nennt als Anhaltspunkte unbekannte Build-Agent-Verbindungen, ungewöhnliche vom Serverprozess gestartete Prozesse sowie neue oder veränderte Benutzerkonten und Zugriffstoken. Ein gezielter Blick in die Logs seit dem 27. Juli 2026 ist der erste Schritt.Muss ich als Nicht-US-Behörde die Drei-Tage-Frist von CISA auch einhalten?Die Frist von BOD 26-04 ist formal nur für US-Bundesbehörden bindend. Sie zeigt aber, wie hoch CISA das Risiko einstuft, und sollte für alle Betreiber als starkes Signal gelten, nicht auf den nächsten regulären Wartungstermin zu warten.Was ist der Unterschied zwischen dem vollständigen Upgrade und dem Sicherheits-Patch-Plugin?Das vollständige Upgrade auf 2025.11.7 oder 2026.1.3 bringt zusätzlich alle sonstigen Fehlerbehebungen und Funktionsänderungen der jeweiligen Version mit. Das Sicherheits-Patch-Plugin schließt gezielt nur diese eine Lücke und eignet sich für Installationen ab Version 2017.1, bei denen ein vollständiges Upgrade kurzfristig nicht möglich ist.Wurden bereits Ransomware-Angriffe über diese Lücke bestätigt?Nein, das ist bislang nicht belegt. Sicherheitsforscher warnen, dass Ransomware-Gruppen die Lücke absehbar in automatisierte Angriffskits aufnehmen könnten – das ist derzeit aber eine Einschätzung und keine bestätigte Beobachtung.
  • Fazit: CVE-2026-63077 zeigt exemplarisch, wie schnell aus einer verantwortungsvoll gemeldeten Schwachstelle eine real ausgenutzte Bedrohung wird: Neun Tage lagen zwischen JetBrains' erster Warnung und der CISA-Bestätigung aktiver Angriffe, zwei weitere bis zur Drei-Tage-Frist für US-Behörden. Für Betreiber von TeamCity On-Premises ändert das die Priorität: Aus einem Eintrag auf der nächsten Patch-Liste wird eine Aufgabe für heute. Der Grund liegt weniger in der einzelnen Schwachstelle als im Ziel dahinter – ein kompromittierter CI/CD-Server öffnet nicht nur ihn selbst, sondern potenziell die gesamte Softwarelieferkette dahinter, von Quellcode bis zu signierten Updates. Wer TeamCity On-Premises betreibt, sollte deshalb jetzt drei Dinge tun: aktualisieren oder das Patch-Plugin einspielen, die Logs der vergangenen drei Wochen auf Auffälligkeiten prüfen, und den Server bis dahin nicht offen ins Internet stellen. Die Lage wird sich weiterentwickeln – dieser Artikel wird bei belastbaren neuen Erkenntnissen aktualisiert.
  • Quellen:
  • Weiterführende Links: JetBrains TeamCity – offizielle Sicherheitsseite und der laufend aktualisierte CISA Known Exploited Vulnerabilities Catalog für den aktuellen Ausnutzungsstatus.
Anzeige
#Security