{"id":55244,"date":"2026-09-24T13:42:27","date_gmt":"2026-09-24T11:42:27","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=55244"},"modified":"2026-09-24T13:42:27","modified_gmt":"2026-09-24T11:42:27","slug":"teamcity-ransomware-cisa-warnung-55244","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/teamcity-ransomware-cisa-warnung-55244\/","title":{"rendered":"CISA best\u00e4tigt Ransomware-Angriffe auf kritische TeamCity-L\u00fccke"},"content":{"rendered":"<p>Die US-amerikanische Cybersicherheitsbeh\u00f6rde <a href=\"https:\/\/overcentral.com\/de\/cisa-angriffe-gitea-citrix-netscaler-50137\/\" title=\"CISA best\u00e4tigt Angriffe auf Gitea und Citrix\" data-iacss-internal=\"1\">CISA<\/a> hat ihre Warnung vor der kritischen <a href=\"https:\/\/www.jetbrains.com\/teamcity\/\" target=\"_blank\" rel=\"sponsored noopener noreferrer\" data-iacss-external=\"1\">JetBrains<\/a> TeamCity-Sicherheitsl\u00fccke <strong>CVE-2026-63077<\/strong> versch\u00e4rft. Nachdem die Schwachstelle bereits im August in aktiven Angriffen ausgenutzt wurde, best\u00e4tigt die Beh\u00f6rde nun, dass auch Ransomware-Banden die L\u00fccke gezielt f\u00fcr ihre Erpressungsangriffe nutzen. Die Entwicklung zwingt Unternehmen, insbesondere solche mit Internet-exponierten CI\/CD-Servern, zu sofortigem Handeln.<\/p>\n<h2>Schwere Authentifizierungs-L\u00fccke mit weitreichenden Folgen<\/h2>\n<p>Die Sicherheitsl\u00fccke in TeamCity On-Premises \u2013 den Versionen 2025.11.7 und 2026.1.3 \u2013 wurde von JetBrains am 25. Juli geschlossen. Dabei handelt es sich um eine als kritisch eingestufte Schwachstelle zur Authentifizierungsumgehung. Angreifer, die lediglich HTTP(S)-Zugriff auf den Server haben, k\u00f6nnen \u00fcber das TeamCity Agent Polling-Protocol die Zugangskontrollen umgehen und beliebige Betriebssystembefehle ausf\u00fchren. Die Attacke l\u00e4uft mit den Rechten des TeamCity-Serverprozesses ab \u2013 was bedeutet, dass vertrauliche Daten, Konfigurationen und gespeicherte Anmeldedaten kompromittiert werden k\u00f6nnen. Besonders schwer wiegt die Gefahr f\u00fcr nachgelagerte CI\/CD-Pipelines: Gelingt der Angriff, k\u00f6nnen Artefakte ver\u00e4ndert und die gesamte Software-Lieferkette infiltriert werden.<\/p>\n<h2>Von der ersten Warnung bis zum Ransomware-Einsatz<\/h2>\n<p>Bereits am 5. August, knapp zwei Wochen nach dem Patch, nahm die <a href=\"https:\/\/www.cisa.gov\/known-exploited-vulnerabilities-catalog\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">CISA<\/a> die Schwachstelle in ihren Katalog der aktiv ausgenutzten Sicherheitsl\u00fccken (KEV) auf und setzte US-Bundesbeh\u00f6rden eine Dreitagesfrist zur Sicherung ihrer Netzwerke. Zwei Tage sp\u00e4ter, am 7. August, best\u00e4tigte JetBrains die ersten Angriffe im Internet und ver\u00f6ffentlichte Indikatoren f\u00fcr eine Kompromittierung (IoC). Das Unternehmen forderte alle Kunden dringend auf, ihre Server zu aktualisieren oder zumindest den Zugriff auf vertrauensw\u00fcrdige Netzwerke zu beschr\u00e4nken.<\/p>\n<p>Die erneute Aktualisierung des KEV-Katalogs durch die CISA zeigt nun eine neue Eskalationsstufe: Die Beh\u00f6rde kennzeichnet CVE-2026-63077 offiziell als Sicherheitsl\u00fccke, die in Ransomware-Kampagnen eingesetzt wird. Damit reiht sich die Schwachstelle in eine traurige Reihe von vier TeamCity-Sicherheitsproblemen ein, die seit Oktober 2023 von der CISA als in freier Wildbahn ausgenutzt eingestuft wurden \u2013 alle zuvor genannten wurden ebenfalls von Erpressungssoftware-Banden verwendet.<\/p>\n<h2>Ungepatchte Server als Einfallstor f\u00fcr staatliche Hacker<\/h2>\n<p>Die aktuellen Zahlen des Sicherheitsdienstes Shadowserver zeigen einen R\u00fcckgang der verwundbaren Systeme. Waren unmittelbar nach dem Patch noch rund 700 Internet-exponierte TeamCity-Server ungesch\u00fctzt, sind es jetzt etwas mehr als 160. Dennoch bleibt jedes ungepatchte System ein enormes Risiko. Der Hintergrund ist die Rolle von TeamCity als Continuous Integration und Continuous Deployment (CI\/CD)-Plattform. Das Tool wird von \u00fcber 30.000 DevOps-Teams genutzt, unter anderem bei Citibank, Amazon Games, Tesla und Samsung.<\/p>\n<p>Gerade die zentrale Funktion von TeamCity in der Softwareentwicklung macht es zu einem bevorzugten Ziel. Staatlich unterst\u00fctzte Hackergruppen wie APT29, die dem russischen Auslandsgeheimdienst SVR zugeschrieben werden, haben bereits im Oktober 2024 in einer gro\u00df angelegten Kampagne verwundbare TeamCity- und Zimbra-Server ins Visier genommen. Die Kombination aus staatlichen Angreifern und kriminellen Ransomware-Gruppen macht die aktuelle Bedrohungslage besonders gef\u00e4hrlich.<\/p>\n<p>F\u00fcr IT-Administratoren bleibt nur eine Handlungsoption: Die sofortige Installation der verf\u00fcgbaren Patches auf allen Internet-exponierten Servern. Angesichts der dokumentierten Eskalation der Angriffe \u2013 von ersten Proof-of-Concept-Exploits bis hin zu gro\u00dffl\u00e4chigen Ransomware-Operationen \u2013 ist jede Verz\u00f6gerung ein direktes Sicherheitsrisiko f\u00fcr die gesamte Entwicklungsinfrastruktur und die darauf aufbauenden Gesch\u00e4ftsprozesse.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Die US-amerikanische Cybersicherheitsbeh\u00f6rde CISA hat ihre Warnung vor der kritischen JetBrains TeamCity-Sicherheitsl\u00fccke CVE-2026-63077 versch\u00e4rft. Nachdem die Schwachstelle bereits im August in aktiven Angriffen ausgenutzt wurde, best\u00e4tigt die Beh\u00f6rde nun, dass auch Ransomware-Banden die L\u00fccke gezielt f\u00fcr ihre Erpressungsangriffe nutzen. Die Entwicklung zwingt Unternehmen, insbesondere solche mit Internet-exponierten CI\/CD-Servern, zu sofortigem Handeln. Schwere Authentifizierungs-L\u00fccke mit weitreichenden [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":55247,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/55244.png","fifu_image_alt":"CISA best\u00e4tigt Ransomware-Angriffe auf kritische TeamCity-L\u00fccke","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-55244","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/55244.png","fifu_image_alt":"CISA best\u00e4tigt Ransomware-Angriffe auf kritische TeamCity-L\u00fccke","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55244","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=55244"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55244\/revisions"}],"predecessor-version":[{"id":55246,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55244\/revisions\/55246"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/55247"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=55244"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=55244"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=55244"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}