Wer einen eigenen Build-Server betreibt, sollte jetzt aufhorchen: JetBrains warnt vor einer kritischen Luecke in TeamCity On-Premises. Ein Angreifer braucht keinen Login — nur HTTP-Zugriff auf den Server. Dann kann er Befehle direkt auf dem System ausfuehren. Die Bewertung: CVSS 9.8. Das ist so ernst, wie es klingt.
DARUM IST DAS SO BRISANT: Ein Build-Server ist Gold wert
Die Luecke CVE-2026-63077 missbraucht das Agent-Polling-Protokoll von TeamCity, um die Authentifizierung komplett zu umgehen. Betroffen sind laut JetBrains alle On-Premises-Versionen. Wer die Luecke ausnutzt, kann Zugangsdaten abgreifen, Server-Konfigurationen aendern — oder Schadcode in deine Build- und Deploy-Pipeline schmuggeln.
Genau das macht CI/CD-Server zu einem Lieblingsziel: Wer die Pipeline kontrolliert, kontrolliert die Software, die hinten rauskommt. Ein einziger kompromittierter Build-Server kann die gesamte Lieferkette vergiften.
SO REAGIERST DU RICHTIG
JetBrains hat die Fixes bereits am Start: TeamCity 2025.11.7 und 2026.1.3. Wer nicht sofort updaten kann, bekommt ein Security-Patch-Plugin. Die Luecke wurde am 10. Juli vertraulich gemeldet, die Warnung folgte am 27. Juli. Zum Zeitpunkt der Veroeffentlichung war JetBrains keine aktive Ausnutzung bekannt — was sich bei einer Pre-Auth-RCE aber schnell aendern kann.
Wichtig: TeamCity Cloud ist nicht betroffen. Wer die gehostete Variante nutzt, muss nichts tun.
EXTRA-TIPP: Build-Server gehoeren nicht ins offene Netz
Nimm den Vorfall als Anlass, deinen CI-Server zu haerten: Stell ihn hinter ein VPN oder einen Reverse-Proxy mit Authentifizierung, statt ihn direkt ins Internet zu haengen. Ein Build-Server, den nur dein internes Netz erreicht, ist gegen unauthentifizierte Angriffe von aussen deutlich robuster.
Haeufige Fragen
Welche Versionen sind betroffen?
Wie behebe ich das Problem konkret?
Wird die Luecke schon ausgenutzt?
Warum sind Build-Server so ein attraktives Ziel?
Quellen: JetBrains Blog, Help Net Security.