CVE-2026-63077 : une faille critique de TeamCity désormais activement exploitée

Un chemin non authentifié vers le contrôle total du serveur

JetBrains a reçu le rapport de vulnérabilité en privé le 10 juillet 2026 et a publié un avis public 17 jours plus tard, le 27 juillet. La description de l’entreprise elle-même est saisissante : la faille « permet à un attaquant non authentifié disposant d’un accès HTTP(S) à un serveur TeamCity de contourner les contrôles d’authentification et d’exécuter des commandes système arbitraires » avec les privilèges du processus serveur TeamCity lui-même — aucune connexion, aucun identifiant, aucune ingénierie sociale requise, juste un accès réseau au serveur.

La cause technique profonde, détaillée dans l’analyse de Rapid7 publiée le 7 août 2026, est une faille de désérialisation dans le protocole de polling des agents de TeamCity : une liste blanche XStream mal configurée n’a pas réussi à supprimer les permissions de désérialisation par défaut avant d’ajouter les classes de protocole spécifiques à TeamCity, laissant une voie permettant à un attaquant de soumettre des données sérialisées malveillantes que le serveur exécuterait. La preuve de concept de Rapid7 a démontré l’exploit en écrivant un fichier .JSPWS malveillant — une extension JavaServer Pages personnalisée — sur le disque, en exécutant une commande arbitraire par ce biais, puis en supprimant le fichier pour effacer ses traces.

De la divulgation à l’exploitation confirmée en 9 jours

Le calendrier d’exploitation a évolué rapidement. L’avis de suivi de JetBrains lui-même notait qu’aucune exploitation active n’avait été observée au moment de la divulgation initiale du 27 juillet — mais cela a rapidement changé, et la CISA a formellement ajouté CVE-2026-63077 à son catalogue des vulnérabilités activement exploitées (KEV) le 5 août 2026, confirmant une exploitation dans la nature à peine neuf jours après la divulgation publique. Cet ajout a déclenché un délai de réponse obligatoire pour le gouvernement fédéral américain : en vertu de la Directive Opérationnelle Contraignante 26-04, les agences de la branche exécutive civile fédérale devaient appliquer les correctifs ou les mesures d’atténuation avant le 8 août 2026 — une fenêtre de trois jours qui reflète le sérieux avec lequel la CISA traite une RCE non authentifiée avec une exploitation confirmée dans le monde réel contre une infrastructure de build.

La vulnérabilité affecte toutes les installations TeamCity sur site ; les clients TeamCity Cloud ne sont pas concernés, JetBrains gérant directement les correctifs pour le service hébergé. Les versions corrigées sont TeamCity 2025.11.7 et TeamCity 2026.1.3, JetBrains ayant également mis à disposition un plugin de correctif de sécurité pour les installations plus anciennes exécutant la version 2017.1 et ultérieures — un rétroportage inhabituellement large qui signale le nombre de déploiements TeamCity hérités que l’entreprise s’attendait à voir encore en usage actif.

Pourquoi une compromission de serveur CI/CD est pire qu’une violation typique

TeamCity occupe une position structurellement dangereuse dans la chaîne d’approvisionnement logicielle : c’est le système qui construit, signe et déploie le code pour chaque projet qui y est connecté. La propre évaluation des risques de JetBrains pour cette CVE liste les conséquences d’une compromission comme l’exposition des données et identifiants stockés sur le serveur, la modification de l’état du serveur, et la compromission de l’intégrité des artefacts de build — ce dernier point est ce qui distingue une violation CI/CD d’une compromission de serveur ordinaire. Un attaquant disposant d’un accès au serveur de build peut potentiellement injecter du code malveillant dans un logiciel qui sera ensuite construit, signé et livré à chaque client en aval de l’organisation concernée, transformant une simple compromission de serveur en une attaque de la chaîne d’approvisionnement contre tous ceux qui font confiance à ce logiciel.

Ce n’est pas une préoccupation théorique spécifique à TeamCity. Des groupes de piratage soutenus par des États et des affiliés de rançongiciels ont déjà ciblé des serveurs TeamCity On-Premises non corrigés, et les identifiants habituellement stockés dans un système CI/CD — jetons de dépôt de code source, clés de déploiement cloud, identifiants de registre d’artefacts — font d’un serveur de build compromis l’un des points d’ancrage uniques les plus précieux qu’un attaquant puisse obtenir au sein de l’infrastructure d’une organisation logicielle.

Ce que cela signifie pour les équipes d’ingénierie et de sécurité

1. Corrigez TeamCity maintenant — ce n’est pas une vulnérabilité à « planifier pour le prochain sprint »

Avec la CISA confirmant une exploitation active et un écart de neuf jours entre la divulgation et les attaques réelles confirmées, toute organisation exploitant une instance TeamCity sur site inférieure à 2025.11.7 ou 2026.1.3 devrait traiter cela comme un correctif d’urgence, pas une maintenance de routine. Si un correctif immédiat n’est pas possible, appliquez le plugin de correctif de sécurité de JetBrains comme mesure d’atténuation intérimaire.

2. Faites tourner chaque identifiant auquel le serveur TeamCity avait accès, même après application du correctif

Comme la vulnérabilité permet l’exécution de commandes arbitraires avec les privilèges du processus serveur, appliquer le correctif ferme le point d’entrée mais n’annule pas un éventuel accès qu’un attaquant aurait déjà obtenu. Toute organisation ayant exploité un serveur TeamCity non corrigé et accessible depuis Internet entre le 10 juillet et sa date de correction devrait faire tourner par précaution les jetons de contrôle de source, les identifiants de déploiement cloud et les clés de signature d’artefacts stockés sur ce serveur ou accessibles depuis celui-ci.

3. Auditez les artefacts de build produits pendant la fenêtre d’exposition pour détecter tout signe de falsification

Étant donné que l’intégrité des artefacts de build est explicitement citée comme un actif à risque, les organisations devraient examiner les builds produits entre la fenêtre de divulgation de la vulnérabilité et le déploiement du correctif pour détecter des changements inattendus, des commits non autorisés reflétés dans les journaux de build, ou des artefacts ne correspondant pas à la provenance attendue de la source au build — en traitant cela comme un incident potentiel d’intégrité de la chaîne d’approvisionnement, pas seulement comme une lacune de correctif d’infrastructure.

Le schéma derrière les vulnérabilités ciblant le CI/CD

CVE-2026-63077 correspond à un schéma reconnaissable et de plus en plus courant : l’infrastructure critique qui se trouve au cœur du pipeline de livraison logicielle — serveurs de build, registres d’artefacts, orchestrateurs de déploiement — est devenue une cible privilégiée précisément parce que compromettre un seul serveur peut compromettre tout ce que ce serveur touche en aval. Les équipes de sécurité qui concentraient traditionnellement leurs efforts de durcissement sur les systèmes de production orientés client constatent de plus en plus que l’infrastructure CI/CD nécessite le même niveau de vigilance, voire davantage, car un pipeline de build compromis peut empoisonner le logiciel avant même qu’il n’atteigne la surveillance de production.

L’écart de neuf jours entre la divulgation publique de JetBrains et l’exploitation active confirmée rappelle également que publier un correctif ne neutralise pas une vulnérabilité — cela déclenche une course entre les défenseurs qui appliquent la correction et les attaquants qui rétro-ingénierent le correctif pour construire un exploit fonctionnel. Pour une infrastructure exposée à Internet avec ce niveau de rayon d’impact, cette course doit être gagnée en jours, pas dans les semaines ou les mois que de nombreux cycles de gestion des correctifs supposent encore.

Questions Fréquemment Posées

Sources et lectures complémentaires

• Critical Security Issue Affecting TeamCity On-Premises (CVE-2026-63077) — The JetBrains Blog
• CISA Flags TeamCity CVE-2026-63077 RCE Flaw Under Active Exploitation in the Wild — The Hacker News
• Rapid7 Analysis of CVE-2026-63077, an unauthenticated Remote Code Execution vulnerability in JetBrains TeamCity — Rapid7
• JetBrains fixes critical unauthenticated RCE in TeamCity On-Premises (CVE-2026-63077) — Help Net Security