JetBrains ha pubblicato il 27 luglio 2026 un advisory di sicurezza per CVE-2026-63077, una vulnerabilità di deserialization di dati non attendibili che colpisce tutte le versioni on-premises di TeamCity. Il bug, con punteggio CVSS 9.8, consente esecuzione remota di codice non autenticata attraverso il protocollo di polling degli agenti di build: un vettore insolito che trasforma una funzionalità architetturale ordinaria in entry point per compromettere intere pipeline di sviluppo. La gravità massima riflette l'impatto totale su confidenzialità, integrità e disponibilità, combinato con l'assenza di prerequisiti di autenticazione.
- CVE-2026-63077 è una vulnerabilità CWE-502 con CVSS 9.8 che permette RCE non autenticato in TeamCity On-Premises via agent polling protocol
- L'attaccante ottiene privilegi del processo server, con accesso a credenziali memorizzate e capacità di compromettere l'integrità CI/CD
- Al momento della disclosure del 27 luglio 2026, JetBrains non aveva rilevato sfruttamento attivo
- Le versioni corrette sono 2026.1.3 e 2025.11.7; è disponibile anche un security patch plugin per installazioni legacy dal 2017.1
Il meccanismo: quando il polling degli agenti diventa tunnel di comando
La vulnerabilità risiede nella gestione del protocollo di polling che TeamCity utilizza per coordinare gli agenti di build. Secondo l'analisi di Rapid7, un attaccante remoto con semplice accesso HTTP(S) al server può iniettare oggetti serializzati malevoli che, durante la fase di deserialization, eseguono comandi arbitrari del sistema operativo con i privilegi del processo TeamCity. Il vettore CVSS:3.1 conferma la configurazione di rischio massima: accesso di rete senza autenticazione, bassa complessità di attacco, nessuna interazione utente richiesta.
"An unauthenticated remote attacker with HTTP(S) access to a TeamCity server can exploit the agent polling protocol to bypass authentication checks and execute arbitrary operating system commands with the privileges of the TeamCity server process." — Rapid7 advisory, CVE-2026-63077
Il protocollo di polling degli agenti è fondamentale per l'architettura distribuita di TeamCity: consente ai server di assegnare job di build, ricevere artefatti e monitorare lo stato delle istanze worker. Che questo canale operativo diventi superficie di attacco rivela un pattern ricorrente nelle applicazioni Java enterprise: la deserialization di flussi dati interni viene spesso trattata come trust boundary implicito, salvo poi rivelarsi exploitabile quando l'input non è adeguatamente validato.
Perché i server CI/CD sono target privilegiati
La compromissione di un server di integrazione continua non si limita al sistema ospitante. "Attackers who exploit the vulnerability can read stored credentials and compromise CI/CD pipeline integrity", ha dichiarato JetBrains in merito all'impatto documentato. TeamCity memorizza segreti per l'accesso a repository, registry di container, ambienti di deploy e sistemi di gestione delle infrastrutture: la loro esfiltrazione apre a movimento laterale verso asset a valle.
La superficie di attacco dei server CI/CD resta sottovalutata in molte organizzazioni. Esposti spesso a reti interne ma occasionalmente accessibili da internet per il supporto a team distribuiti, questi sistemi combinano elevati privilegi con elevata frequenza di operazioni automatizzate. La capacità di iniettare codice in una pipeline di build consente attacchi alla supply chain con effetto moltiplicatore: un singolo artefatto compromesso può propagarsi a migliaia di deployment.
TeamCity Cloud è esplicitamente escluso dalla vulnerabilità; l'impatto ricade integralmente sulle installazioni on-premises, tipicamente in ambienti enterprise con requisiti di controllo diretto sull'infrastruttura di build. La scelta architetturale on-prem, motivata da compliance o latenza, qui trasforma un vantaggio operativo in responsabilità di sicurezza totale.
Cosa fare adesso
JetBrains ha rilasciato le versioni corrette 2026.1.3 e 2025.11.7 secondo i dati concordanti di Rapid7 e del record NVD. Per le organizzazioni che non possono aggiornare immediatamente, è disponibile un security patch plugin per TeamCity 2017.1 e successivi; JetBrains sottolinea che il plugin risolve esclusivamente CVE-2026-63077 e che l'upgrade alla versione fixata resta la soluzione raccomandata.
Rapid7 ha distribuito vulnerability check nei propri prodotti Exposure Command, InsightVM e Nexpose il 28 luglio 2026: le organizzazioni che utilizzano questi strumenti possono identificare istanze esposte nella propria superficie di attacco. La scansione dovrebbe privilegiare server TeamCity accessibili via HTTP(S) da reti non fidate, con particolare attenzione a quelli con agenti di polling configurati su segmenti di rete ampi.
La verifica dell'esposizione del protocollo di polling aggiunge un elemento specifico ai controlli abituali: molti amministratori si concentrano sulla protezione dell'interfaccia web amministrativa, trascurando che il canale agenti possa offrire vettori di attacco paralleli. Il brief non documenta configurazioni di rete o segmentazione che isolino efficacemente questo traffico.
Il dossier non specifica misure di rilevazione post-compromissione né indicatori di compromissione (IoC) per identificare eventuali accessi abusivi al protocollo di polling avvenuti prima della disclosure.
Il tallone d'Achille della deserialization in Java enterprise
CWE-502, la deserialization di dati non attendibili, compare con frequenza preoccupante nelle advisory di sicurezza di piattaforme Java mature. Nonostante anni di awareness e l'introduzione di librerie di mitigazione, il pattern persiste perché tocca meccanismi di comunicazione interna progettati in epoche precedenti ai modelli di threat moderni. Il protocollo di polling di TeamCity ne è esempio emblematico: funzionalità architetturale legittima, implementata con flussi dati che presuppongono trust ambientale.
La lettura tecnica suggerisce che la correzione implichi ridefinizione del trust boundary lungo tutti i canali di comunicazione server-agente, non solo l'aggiunta di filtri di input superficiali. La natura del fix rilasciato da JetBrains non è dettagliata nella disclosure pubblica; il brief non contiene analisi del codice corretto né informazioni su eventuali hardening aggiuntivi introdotti nelle versioni 2026.1.3 e 2025.11.7.
L'assenza di sfruttamento attivo noto al 27 luglio 2026 non attenua l'urgenza: i server CI/CD rappresentano target ad alto rendimento per attori interessati alla compromissione di supply chain software, e il pubblico rilascio di advisory con dettagli tecnici sufficienti a comprendere il vettore accelera tipicamente la messa a punto di exploit.
L'orizzonte: tra patch e riprogettazione del trust
La vicenda CVE-2026-63077 solleva questioni architetturali che superano il singolo vendor. Le piattaforme CI/CD on-premises ereditano modelli di trust nati da contesti aziendali monolitici; l'estensione a team distribuiti, cloud ibridi e catene di fornitura estese richiede riprogettazione dei confini di sicurezza, non solo applicazione di patch. La persistenza di vulnerabilità di deserialization in sistemi enterprise di prima fascia indica che la transizione è incompleta.
Resta da verificare se JetBrains introdurrà modifiche strutturali al protocollo di polling oltre alla correzione del bug specifico. Il brief non documenta roadmap di sicurezza né iniziative di hardening preventivo per le release future. L'attenzione ora si sposta sui tempi di adozione delle versioni corrette nelle installazioni enterprise, spesso rallentati da dipendenze con pipeline critiche e cicli di validazione estesi.
Fonti
- https://www.rapid7.com/blog/post/etr-cve-2026-63077-critical-unauthenticated-remote-code-execution-in-jetbrains-teamcity
- https://nvd.nist.gov/vuln/detail/CVE-2026-63077
- https://www.rapid7.com/platform/
- https://www.rapid7.com/products/command/exposure-management/
- https://www.rapid7.com/products/command/attack-surface-management-asm/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.