CVE-2026-63077: Kritische RCE-Schwachstelle ohne Authentifizierung in JetBrains TeamCity, bereits aktiv ausgenutzt

CVE-2026-63077: Kritische RCE-Schwachstelle ohne Authentifizierung in JetBrains TeamCity, bereits aktiv ausgenutzt

In Kürze

JetBrains TeamCity, eine weit verbreitete Plattform zur Automatisierung der Integration und Bereitstellung von Software (CI/CD), weist eine kritische Schwachstelle auf, die es ermöglicht, über das Polling-Protokoll der Agenten Code remote auszuführen, ohne sich authentifizieren zu müssen [1]. Sie erreicht einen CVSS-Wert von 9,8 von 10 (Schweregrad „kritisch" laut NVD) [1] und ist im Katalog bekannter ausgenutzter Schwachstellen (KEV) der CISA gelistet, was bestätigt, dass sie bereits aktiv ausgenutzt wird [2]. Wenn Ihre Organisation TeamCity einsetzt, sollten Sie heute vorrangig die Version des Servers und der Agenten prüfen und gegebenenfalls aktualisieren.

Was es ist und warum es wichtig ist

Die Schwachstelle betrifft JetBrains TeamCity in Versionen vor 2026.1.3 und 2025.11.7 [1]. Laut offizieller Beschreibung ermöglicht sie die Remote-Codeausführung ohne Authentifizierung, indem das Protokoll ausgenutzt wird, über das die Build-Agenten den zentralen Server „abfragen" (Polling) [1]. Dies ist relevant, weil TeamCity keine gewöhnliche Anwendung ist: Es ist der Server, der steuert, wie die Software einer Organisation gebaut, getestet und bereitgestellt wird, mit Zugriff auf Repositories, Deployment-Zugangsdaten und Produktionsartefakte. Unser internes Threat-Intelligence-Radar, das sich auf dieselben Daten von NVD und dem KEV-Katalog der CISA stützt, stuft den Fall innerhalb unserer Taxonomie für „Remote-Codeausführung" als kritisch ein [1][2], im Einklang mit dem bereits von NVD vergebenen Schweregrad.

Die Aufnahme in den KEV-Katalog der CISA ist an sich schon eine relevante Information: Diese Liste erfasst Schwachstellen mit Nachweis realer, nicht nur theoretischer Ausnutzung [2]. In den verifizierten Daten, von denen wir ausgehen, liegen keine öffentlichen Details zu konkreten Kampagnen, Akteuren oder dem Umfang der Angriffe vor; als bestätigte Tatsache gilt jedoch die Aufnahme in KEV als Signal für aktive Ausnutzung [2].

Wen betrifft es

Betroffen ist jede Organisation, die eine Instanz von JetBrains TeamCity in Versionen vor 2026.1.3 (Zweig 2026.x) oder 2025.11.7 (Zweig 2025.x) betreibt [1]. Da es sich um ein CI/CD-Tool handelt, wird es in der Regel von Entwicklungs- und DevOps-Teams eingesetzt, und seine Kompromittierung kann Zugang zur Build- und Deployment-Infrastruktur der Software verschaffen. Uns liegen keine verifizierten Daten zur Anzahl der exponierten Instanzen oder zum am stärksten betroffenen Unternehmenstyp vor, weshalb wir an dieser Stelle auf Spekulationen verzichten.

Wie Sie feststellen, ob Sie betroffen sind

• Prüfen Sie die installierte Version sowohl des TeamCity-Servers als auch der Build-Agenten; liegt sie je nach Zweig vor 2026.1.3 oder 2025.11.7, ist die Installation betroffen [1].
• Überprüfen Sie, ob der TeamCity-Server, insbesondere der Endpunkt des Polling-Protokolls der Agenten (der im offiziellen Advisory beschriebene Angriffsvektor), von externen Netzwerken oder dem Internet aus erreichbar ist [1].
• Beachten Sie, dass diese Schwachstelle aufgrund ihrer Aufnahme in KEV bei der Priorisierung als bestätigt ausgenutzt und nicht als hypothetisches Risiko zu behandeln ist [2].

Wie Sie sich schützen

1. Aktualisieren Sie TeamCity je nach verwendetem Zweig auf Version 2026.1.3, 2025.11.7 oder höher [1].

2. Überprüfen Sie die Logs von Server und Agenten auf ungewöhnlichen Datenverkehr im Polling-Protokoll, insbesondere seit dem Veröffentlichungsdatum des Advisorys am 27. Juli 2026 [1].

3. Falls ein sofortiges Patchen nicht möglich ist, beschränken Sie den Zugriff auf den TeamCity-Server und den Polling-Endpunkt der Agenten ausschließlich auf vertrauenswürdige Netzwerke oder VPNs.

4. Behandeln Sie diesen Patch im Wartungs-Backlog mit höchster Priorität, da die Schwachstelle im KEV-Katalog der CISA als aktiv ausgenutzt geführt wird [2].

Häufig gestellte Fragen

Benötigt ein Angreifer Zugangsdaten, um sie auszunutzen?

Nein. Die offizielle Beschreibung gibt an, dass die Remote-Codeausführung ohne Authentifizierung möglich ist [1].

Wird sie tatsächlich ausgenutzt oder handelt es sich um ein theoretisches Risiko?

Sie gilt als aktiv ausgenutzt bestätigt, da sie im KEV-Katalog der CISA gelistet ist [2].

Welche Versionen sind sicher?

Die Versionen 2026.1.3, 2025.11.7 oder höher, je nach verwendetem TeamCity-Zweig [1].

Reicht ein Update aus, oder sind weitere Maßnahmen nötig?

Das Update ist der wesentliche Schritt. Zusätzlich empfiehlt es sich, die Logs auf bereits vor dem Patch stattgefundene verdächtige Aktivitäten zu überprüfen und die Exposition des Servers zu begrenzen, bis das Update abgeschlossen ist [1][2].

Quellen

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-63077
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json