Vor gut einer Woche haben wir dich vor der kritischen TeamCity-Lücke gewarnt — damals war sie „nur“ gefährlich. Jetzt ist der Ernstfall da: Die US-Cybersicherheitsbehörde CISA hat CVE-2026-63077 am 5. August in ihren Katalog der aktiv ausgenutzten Schwachstellen (KEV) aufgenommen. Im Klartext: Angreifer nutzen die Lücke bereits für echte Angriffe.
GEFAHR! Ohne Login zur vollen Kontrolle
Die Schwachstelle sitzt in JetBrains‘ CI/CD-Server TeamCity On-Premises und trägt einen CVSS-Score von 9,8 von 10. Es handelt sich um eine sogenannte Deserialisierungs-Lücke: Ein Angreifer schickt präparierte HTTP- oder HTTPS-Anfragen an den Server, umgeht damit die komplette Anmeldung und führt anschließend Betriebssystem-Befehle mit den Rechten des TeamCity-Prozesses aus.
Was dann möglich ist, liest sich wie eine Horrorliste für jeden Admin:
- Zugriff auf gespeicherte Zugangsdaten und Konfigurationen
- Manipulation von Build-Artefakten — der Alptraum jeder Software-Lieferkette
- Kompromittierung nachgelagerter CI/CD-Pipelines und damit aller Systeme, die deine Builds ausrollen
SCHOCK: Die Frist läuft schon MORGEN ab
Wie ernst die Lage ist, zeigt die Frist, die CISA setzt: US-Bundesbehörden müssen die Lücke bis zum 8. August schließen — das ist morgen. Üblich sind bei KEV-Einträgen mehrere Wochen. Eine Drei-Tage-Frist gibt es nur, wenn die Behörde von einer unmittelbaren, ernsten Bedrohung ausgeht.
Auch wenn du keine US-Behörde bist: Nimm diese Frist als Maßstab. Öffentlich erreichbare TeamCity-Server sind jetzt Freiwild. Automatisierte Scans nach verwundbaren Instanzen laufen erfahrungsgemäß schon Stunden nach Bekanntwerden solcher Lücken.
So rettest du deinen Server in 15 MINUTEN
Schritt 1 — Version prüfen: Verwundbar sind alle On-Premises-Versionen vor den Fixes. Sicher bist du erst mit 2025.11.7 oder 2026.1.3.
Schritt 2 — sofort updaten: JetBrains stellt die gepatchten Versionen zum Download bereit. Wenn du nicht sofort updaten kannst, nimm den Server vom öffentlichen Netz — VPN oder IP-Filter sind das Minimum.
Schritt 3 — auf Einbruch prüfen: Da die Lücke aktiv ausgenutzt wird, reicht Patchen allein nicht. Prüfe Logs auf verdächtige Anfragen, rotiere in TeamCity gespeicherte Secrets und kontrolliere, ob unbekannte Admin-Konten oder veränderte Build-Konfigurationen existieren.
TeamCity-Cloud-Nutzer können übrigens aufatmen: Dort hat JetBrains die Schutzmaßnahmen bereits serverseitig eingespielt.
FAZIT: Patchen — und zwar HEUTE
Von der Veröffentlichung des Patches bis zur aktiven Ausnutzung vergingen nur wenige Tage. Wer seinen Build-Server jetzt noch ungepatcht im Netz stehen lässt, riskiert nicht nur den Server selbst, sondern die Integrität jeder einzelnen Software, die darüber gebaut wird.