CISA предупреждает об эксплуатации RCE-уязвимости JetBrains TeamCity в программах-вымогателях
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
CISA 23 сентября предупредила, что критическая уязвимость удалённого выполнения кода в JetBrains TeamCity активно эксплуатируется группами вымогателей. Уязвимость CVE-2026-63077 с оценкой CVSS 9,8 была исправлена 25 июля и добавлена в каталог известных эксплуатируемых уязвимостей CISA 5 августа. Эксперты по безопасности отмечают, что эта ошибка позволяет неаутентифицированным злоумышленникам компрометировать сборочные серверы и проникать в нижестоящие цепочки поставок программного обеспечения.
Ключевые факты
- CISA 23 сентября предупредила, что CVE-2026-63077, критическая уязвимость удалённого выполнения кода в JetBrains TeamCity с оценкой CVSS 9,8, эксплуатируется в кампаниях программ-вымогателей.
- Уязвимость была исправлена 25 июля и добавлена в каталог известных эксплуатируемых уязвимостей CISA 5 августа 2026 года.
- Ошибка представляет собой неаутентифицированное удалённое выполнение кода через протокол опроса агентов, классифицируется как CWE-502 и не требует учётных данных для эксплуатации.
- Симэнт Сегал, генеральный директор BreachLock, советует службам безопасности рассматривать ситуацию как активную компрометацию до завершения установки патча, ротации учётных данных и проверки журналов сборки.
- Адриан Калли из SafeBreach отмечает, что TeamCity хранит учётные данные сборки и материалы для подписи, что делает компрометацию потенциальной точкой входа во все нижестоящие сборки.
Детали уязвимости
CVE-2026-63077 — критическая уязвимость удалённого выполнения кода в JetBrains TeamCity с оценкой CVSS 9,8. Ошибка была исправлена 25 июля 2026 года и добавлена в каталог известных эксплуатируемых уязвимостей CISA 5 августа 2026 года. Адриан Калли, инженер по наступательной безопасности SafeBreach, описал ошибку как неаутентифицированное удалённое выполнение кода через протокол опроса агентов, классифицируемое как CWE-502. Злоумышленнику с сетевым доступом к серверу не требуются учётные данные для эксплуатации уязвимости.
Эксплуатация вымогателями
CISA 23 сентября предупредила, что уязвимость активно эксплуатируется в кампаниях программ-вымогателей. Время от раскрытия информации до эксплуатации вымогателями составило примерно два месяца. Симэнт Сегал, генеральный директор BreachLock, заявил, что группы вымогателей определили сборочные серверы как цели высокой ценности. Злоумышленники могут внедрять вредоносный код в легитимные сборки, похищать ключи подписи и облачные учётные данные, а также проникать в производственную инфраструктуру.
Рекомендации по безопасности
Сегал советует службам безопасности рассматривать ситуацию как активную компрометацию до установки патча, ротации учётных данных и токенов, а также проверки журналов сборки. Одна лишь установка патча оставляет доступ злоумышленников из периода до исправления, и этот шаг команды иногда упускают в сжатые сроки. Калли подчеркнул, что организациям следует проверить, обнаруживает ли их система защиты эксплуатацию интернет-доступного сборочного сервера до того, как она распространится ниже по цепочке. Борис Ципот, главный инженер по безопасности Black Duck, выразил обеспокоенность тем, как быстро уязвимости в критической инфраструктуре разработки переходят от раскрытия к реальной эксплуатации.
2 источника
Время · отставание