TeamCity'deki kritik kimlik doğrulama atlatma açığı saldırılarda kullanılıyor

JetBrains'in sürekli entegrasyon/sürekli teslimat (CI/CD) sunucusu TeamCity On-Premises'taki kritik bir açık artık gerçek saldırılarda kullanılıyor. Avustralya Sinyal İstihbarat Direktörlüğü'ne (ASD) bağlı Avustralya Siber Güvenlik Merkezi (ACSC), CVE-2026-63077 kimlikli açığın ülkede aktif olarak istismar edildiğini duyurdu; saldırılara ilişkin ayrıntı paylaşmadı. CISA da açığı Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi.

Açığın kökeni

JetBrains açığı Temmuz sonunda duyurmuş ve o tarihte istismar girişimi görmediğini belirtmişti. CVSS 9.8 puanlı zafiyet, TeamCity'nin ajan yoklama (agent polling) protokolünde bulunuyor. Sunucuya HTTP/HTTPS erişimi olan kimliği doğrulanmamış bir saldırgan, TeamCity sunucu sürecinin yetkileriyle işletim sistemi komutu çalıştırabiliyor. Açığı 10 Temmuz 2026'da Antoni Tremblay bildirdi.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Rapid7 araştırmacısı Stephen Fewer'ın analizine göre sorun, kimliği doğrulanmamış ajan isteklerinden hangi Java sınıflarının seri durumdan çıkarılacağını belirleyen izin listesinin fazla geniş tutulmasından kaynaklanıyor. Fewer kavram kanıtı kodunu GitHub'da yayımladı; bu, istismarın yaygınlaşma riskini artırıyor.

Neden tehlikeli?

CI/CD sunucuları, kaynak koduna, dağıtım anahtarlarına, bulut kimlik bilgilerine ve imzalama sırlarına erişen merkezi noktalar. Ele geçirilen bir TeamCity sunucusu yalnızca veri ve yapılandırma sızıntısına değil, derleme çıktılarının değiştirilmesine ve böylece yazılım tedarik zincirinin zehirlenmesine yol açabiliyor. TeamCity geçmişte de devlet destekli gruplar ve fidye yazılım operatörlerinin hedefinde olmuştu.

Ne yapılmalı?

• TeamCity On-Premises kalıcı düzeltmeyi içeren 2025.11.7 veya 2026.1.3 sürümüne yükseltilmeli.
• Hemen yükseltme yapılamıyorsa JetBrains'in 2017.1 ve sonrası için sunduğu güvenlik yaması eklentisi uygulanmalı.
• TeamCity sunucusu internete doğrudan açık olmamalı; erişim VPN veya IP kısıtlamasıyla sınırlanmalı.
• Sunucuda saklanan tüm sırlar, token'lar ve bulut anahtarları ele geçirilmiş kabul edilerek gözden geçirilmeli, gerekirse yenilenmeli.
• Son haftalardaki derleme yapılandırması değişiklikleri, yeni kullanıcılar ve beklenmeyen ajan kayıtları incelenmeli.
• TeamCity Cloud örnekleri JetBrains tarafından güncellendi; ek işlem gerekmiyor.