JetBrains: il baco di TeamCity ha esposto i dati di Cadence

JetBrains ha reso pubblico il 31 agosto 2026 che il proprio servizio cloud Cadence è stato violato tra l'8 e il 24 agosto, attraverso un server TeamCity interno rimasto non patchato contro CVE-2026-63077, una vulnerabilità critica con punteggio CVSS 9.8. La scoperta, avvenuta il 23 agosto, ha generato un problema di credibilità per il vendor: l'azienda che produce strumenti di sviluppo usati da milioni di programmatori non è riuscita a proteggere la propria infrastruttura con la stessa patch che distribuiva ai clienti.

La falla che il vendor ha curato per tutti tranne che per sé

CVE-2026-63077, secondo il record ufficiale NVD, risiede nella deserializzazione di dati non fidati (CWE-502) all'interno del protocollo di polling degli agenti di TeamCity. La vulnerabilità consente esecuzione remota di codice senza richiedere autenticazione, con vettore di attacco di rete, complessità bassa e impatto massimo su riservatezza, integrità e disponibilità. Le versioni interessate sono TeamCity On-Premises precedenti alla 2025.11.7 o alla 2026.1.3.

La CISA ha inserito CVE-2026-63077 nel catalogo Known Exploited Vulnerabilities il 5 agosto 2026, tre giorni prima che l'attacco contro Cadence iniziasse. Questa timeline è documentata: la vulnerabilità era già nota, catalogata come attivamente sfruttata e oggetto di patch ufficiale quando gli attaccanti hanno colpito il server JetBrains.

Cosa è stato estratto dal backup del 2024

Il server compromesso, api.cadence.jetbrains.com, conteneva un backup completo risalente al 2024. I dati accessibili includevano nomi utente, nomi reali, indirizzi email, timestamp dell'ultimo login e indirizzi IP dell'ultimo accesso. Oltre ai metadati degli utenti, il backup conservava credenziali e segreti di configurazione, artefatti di build e log di sistema.

La fonte primaria ha documentato che gli attaccanti hanno estratto credenziali IAM AWS di più utenti, inclusi dipendenti JetBrains, e hanno acceduto a file contenuti in bucket S3 all'interno di account AWS utilizzati da Cadence. La fonte indica inoltre che il codice sorgente sincronizzato da progetti PyCharm al server interessato potrebbe essere stato consultato. Secondo JetBrains non ci sono evidenze di accesso ai dati dell'ambiente Cadence attuale o in produzione al momento della scoperta.

«The server should have been patched as part of our response to the vulnerability, but it was not. We sincerely apologize for this failure and the impact it may have on you» — JetBrains

La risposta JetBrains e i limiti del disclosure

JetBrains ha reagito invalidando tutti i token di accesso del plugin PyCharm per Cadence, costringendo gli utenti a riautenticarsi. Daniel Gallo, Solutions Engineering Lead, ha indicato che l'impatto riguarda «lo stesso gruppo di utenti contattato direttamente in precedenza».

La fonte non specifica il numero totale di utenti Cadence coinvolti, né la distribuzione geografica degli account esposti. Non è noto se le credenziali AWS estratte siano state utilizzate per movimento laterale oltre l'accesso iniziale ai bucket S3, né se siano stati iniettati artefatti malevoli nella catena di approvvigionamento software. L'identità degli operatori dell'attacco non è stata determinata.

Resta inoltre non chiarito perché il server specifico sia sfuggito al processo di gestione delle patch interno di JetBrains.

Cosa fare adesso

JetBrains ha indicato azioni specifiche per gli utenti del servizio, riportate nelle citazioni dirette disponibili:

• «Cadence users should immediately revoke or rotate all credentials and secrets that may have been used to run their Cadence executions» — JetBrains.
• «As the threat actors gained access to the Cadence server, any credentials or secrets stored in Cadence, contained in the compromised backup, or made available to executions on the affected server should be considered compromised and must be revoked or rotated» — JetBrains.

La fonte non specifica ulteriori passaggi operativi, né procedure di verifica su infrastruttura AWS o rotazione di chiavi al di fuori di quanto dichiarato dal vendor.

Il problema del vendor che non si fida di sé stesso

L'incidente JetBrains configura una variante del rischio di supply chain: non un attacco diretto ai clienti, ma una dimostrazione che la sicurezza gestita può fallire nel perimetro interno del provider. Cadence è un servizio cloud che intermedia tra l'IDE dello sviluppatore e l'infrastruttura eseguibile; la sua compromissione attraverso un componente di orchestrazione non aggiornato solleva questioni sulla segregazione degli ambienti cloud e sulla visibilità dell'inventario di asset.

La lezione non è tecnica ma organizzativa: un processo di patch che funziona per il prodotto distribuito può non funzionare per l'infrastruttura interna. La promessa di sicurezza gestita si scontra qui con un errore operativo documentato, non con una vulnerabilità sconosciuta. Il CVSS 9.8 era noto, la patch era disponibile, il catalogo CISA era aggiornato. Il fallimento è di implementazione.

JetBrains ha invalidato i token e si è scusata pubblicamente. Il dato che resta è che un backup del 2024 ha consentito accesso a credenziali AWS e a potenziale codice sorgente cliente, attraverso un server che il vendor stesso definisce non patchato per errore. La misura del danno dipende da ciò che gli attaccanti hanno fatto con i dati estratti, e su questo il brief non offre evidenze.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://thehackernews.com/2026/09/attackers-breached-jetbrains-cadence.html
• https://beyondmachines.net/event_details/jetbrains-cadence-service-breached-via-unpatched-teamcity-rce-flaw-s-9-2-o-x
• https://ground.news/article/attackers-breached-jetbrains-cadence-via-unpatched-teamcity-extracting-aws-credentials
• https://www.rescana.com/post/jetbrains-cadence-breach-attackers-exploit-unpatched-teamcity-cve-2026-63077-to-exfiltrate-aws-credentials-and-source-co
• https://www.hendryadrian.com/attackers-breached-jetbrains-cadence-via-unpatched-teamcity-extracting-aws-credentials/
• https://adtmag.com/articles/2026/08/31/jetbrains-breach.aspx
• https://nvd.nist.gov/vuln/detail/cve-2026-63077
• https://adtmag.com/pages/topic-pages/security.aspx
• https://adtmag.com/articles/2026/08/27/microsoft-agent-framework-adds-support.aspx
• https://thehackernews.com/
• https://thehackernews.com/p/upcoming-hacker-news-webinars.html