Die US-amerikanische Cybersicherheitsbehörde CISA hat ihre Warnung vor der kritischen JetBrains TeamCity-Sicherheitslücke CVE-2026-63077 verschärft. Nachdem die Schwachstelle bereits im August in aktiven Angriffen ausgenutzt wurde, bestätigt die Behörde nun, dass auch Ransomware-Banden die Lücke gezielt für ihre Erpressungsangriffe nutzen. Die Entwicklung zwingt Unternehmen, insbesondere solche mit Internet-exponierten CI/CD-Servern, zu sofortigem Handeln.
Schwere Authentifizierungs-Lücke mit weitreichenden Folgen
Die Sicherheitslücke in TeamCity On-Premises – den Versionen 2025.11.7 und 2026.1.3 – wurde von JetBrains am 25. Juli geschlossen. Dabei handelt es sich um eine als kritisch eingestufte Schwachstelle zur Authentifizierungsumgehung. Angreifer, die lediglich HTTP(S)-Zugriff auf den Server haben, können über das TeamCity Agent Polling-Protocol die Zugangskontrollen umgehen und beliebige Betriebssystembefehle ausführen. Die Attacke läuft mit den Rechten des TeamCity-Serverprozesses ab – was bedeutet, dass vertrauliche Daten, Konfigurationen und gespeicherte Anmeldedaten kompromittiert werden können. Besonders schwer wiegt die Gefahr für nachgelagerte CI/CD-Pipelines: Gelingt der Angriff, können Artefakte verändert und die gesamte Software-Lieferkette infiltriert werden.
Von der ersten Warnung bis zum Ransomware-Einsatz
Bereits am 5. August, knapp zwei Wochen nach dem Patch, nahm die CISA die Schwachstelle in ihren Katalog der aktiv ausgenutzten Sicherheitslücken (KEV) auf und setzte US-Bundesbehörden eine Dreitagesfrist zur Sicherung ihrer Netzwerke. Zwei Tage später, am 7. August, bestätigte JetBrains die ersten Angriffe im Internet und veröffentlichte Indikatoren für eine Kompromittierung (IoC). Das Unternehmen forderte alle Kunden dringend auf, ihre Server zu aktualisieren oder zumindest den Zugriff auf vertrauenswürdige Netzwerke zu beschränken.
Die erneute Aktualisierung des KEV-Katalogs durch die CISA zeigt nun eine neue Eskalationsstufe: Die Behörde kennzeichnet CVE-2026-63077 offiziell als Sicherheitslücke, die in Ransomware-Kampagnen eingesetzt wird. Damit reiht sich die Schwachstelle in eine traurige Reihe von vier TeamCity-Sicherheitsproblemen ein, die seit Oktober 2023 von der CISA als in freier Wildbahn ausgenutzt eingestuft wurden – alle zuvor genannten wurden ebenfalls von Erpressungssoftware-Banden verwendet.
Ungepatchte Server als Einfallstor für staatliche Hacker
Die aktuellen Zahlen des Sicherheitsdienstes Shadowserver zeigen einen Rückgang der verwundbaren Systeme. Waren unmittelbar nach dem Patch noch rund 700 Internet-exponierte TeamCity-Server ungeschützt, sind es jetzt etwas mehr als 160. Dennoch bleibt jedes ungepatchte System ein enormes Risiko. Der Hintergrund ist die Rolle von TeamCity als Continuous Integration und Continuous Deployment (CI/CD)-Plattform. Das Tool wird von über 30.000 DevOps-Teams genutzt, unter anderem bei Citibank, Amazon Games, Tesla und Samsung.
Gerade die zentrale Funktion von TeamCity in der Softwareentwicklung macht es zu einem bevorzugten Ziel. Staatlich unterstützte Hackergruppen wie APT29, die dem russischen Auslandsgeheimdienst SVR zugeschrieben werden, haben bereits im Oktober 2024 in einer groß angelegten Kampagne verwundbare TeamCity- und Zimbra-Server ins Visier genommen. Die Kombination aus staatlichen Angreifern und kriminellen Ransomware-Gruppen macht die aktuelle Bedrohungslage besonders gefährlich.
Für IT-Administratoren bleibt nur eine Handlungsoption: Die sofortige Installation der verfügbaren Patches auf allen Internet-exponierten Servern. Angesichts der dokumentierten Eskalation der Angriffe – von ersten Proof-of-Concept-Exploits bis hin zu großflächigen Ransomware-Operationen – ist jede Verzögerung ein direktes Sicherheitsrisiko für die gesamte Entwicklungsinfrastruktur und die darauf aufbauenden Geschäftsprozesse.
