JetBrains mengeluarkan peringatan terkait kerentanan keamanan kritis pada platform DevOps TeamCity. Kerentanan ini berpotensi memungkinkan penyerang yang tidak terautentikasi mengeksekusi perintah sistem operasi secara sewenang-wenang pada server yang rentan.
Kerentanan tersebut, yang tercatat sebagai CVE-2026-63077, memengaruhi semua penerapan TeamCity On-Premises. JetBrains telah menyediakan perbaikan pada versi 2025.11.7 dan 2026.1.3. Menurut penjelasan perusahaan, eksploitasi dapat dilakukan melalui akses HTTP atau HTTPS ke server TeamCity, sehingga melewati pemeriksaan autentikasi dan menjalankan perintah dengan hak akses proses server TeamCity.
Skor CVSS untuk kerentanan ini mencapai 9,8 dari 10, yang mencerminkan tingkat keparahan tinggi karena tidak memerlukan autentikasi maupun interaksi pengguna. Kategori CWE-502 yang berkaitan dengan deserialisasi data tidak terstruktur menjadi dasar klasifikasi masalah ini. Penyerang dapat mengirim data yang dibuat khusus melalui protokol polling agen untuk memicu eksekusi kode jarak jauh.
Dampak potensial mencakup paparan data TeamCity, konfigurasi, serta kredensial yang tersimpan. Selain itu, serangan berhasil juga dapat mengubah status server dan membahayakan integritas artefak build serta pipeline CI/CD hilir. Dalam konteks penerapan DevOps yang semakin luas, kerentanan pada alat integrasi berkelanjutan seperti TeamCity dapat memperbesar risiko rantai pasok perangkat lunak secara keseluruhan.
Latar belakang pelaporan menunjukkan bahwa masalah ini ditemukan secara pribadi pada 10 Juli oleh peneliti keamanan Antoni Tremblay melalui proses pengungkapan terkoordinasi JetBrains. Hingga saat advisory diterbitkan, belum ditemukan bukti eksploitasi aktif. Namun, riwayat pemanfaatan celah serupa pada platform yang sama oleh aktor ancaman menunjukkan perlunya kewaspadaan tinggi terhadap infrastruktur CI/CD yang di-host sendiri.
Pengguna TeamCity Cloud tidak perlu melakukan tindakan apa pun. Bagi pelanggan On-Premises, JetBrains merekomendasikan peningkatan langsung ke versi yang telah diperbaiki. Jika peningkatan tidak dapat dilakukan segera, penerapan plugin patch keamanan menjadi alternatif yang tersedia untuk versi 2017.1 ke atas. Beberapa versi lama memerlukan restart server setelah instalasi plugin, sedangkan rilis yang lebih baru dapat mengaktifkan perbaikan tanpa restart.
Sebagai langkah mitigasi tambahan, administrator disarankan membatasi akses eksternal jika kedua opsi di atas belum dapat diterapkan. Praktik terbaik mencakup pembatasan akses jaringan hanya ke jaringan tepercaya serta menjalankan proses server dengan hak istimewa sistem operasi minimal. Pemisahan host khusus untuk server TeamCity dari agen build juga menjadi rekomendasi untuk mengurangi risiko penyebaran serangan.
Kerentanan ini menegaskan pentingnya segmentasi jaringan dan pemantauan berkelanjutan pada lingkungan pengembangan yang terhubung. Organisasi yang mengandalkan infrastruktur CI/CD on-premise perlu memprioritaskan pembaruan darurat untuk mencegah potensi kompromi yang meluas.
