Kritische Schwachstelle in JetBrains TeamCity (CVE-2026-63077) ermöglicht Code-Ausführung.

Was ist passiert?

Eine kritische Sicherheitslücke (CVE-2026-63077) wurde in JetBrains TeamCity entdeckt. Diese ermöglicht es Angreifern, ohne vorherige Authentifizierung beliebigen Code auf dem Server auszuführen. Die Schwachstelle betrifft Versionen vor 2026.1.3 und 2025.11.7 und nutzt das Agent-Polling-Protokoll aus.

Wer ist betroffen?

Betroffen sind Unternehmen, die JetBrains TeamCity als Continuous Integration/Continuous Delivery (CI/CD)-Server einsetzen. Insbesondere sind Installationen gefährdet, die noch nicht auf die Versionen 2026.1.3 oder 2025.11.7 oder höher aktualisiert wurden. Da TeamCity oft für die Automatisierung von Softwareentwicklungsprozessen genutzt wird, kann eine Kompromittierung weitreichende Folgen haben.

Wie kritisch ist es?

Die Schwachstelle ist mit einem CVSS-Score von 9.8 als "kritisch" eingestuft, was auf ein sehr hohes Risiko hinweist. Obwohl die Wahrscheinlichkeit einer Ausnutzung (EPSS) in den nächsten 30 Tagen bei 1 % liegt, ist die Gefahr real. Die CISA KEV-Liste bestätigt, dass diese Schwachstelle seit dem 4. August 2026 aktiv ausgenutzt wird, was sofortiges Handeln erfordert.

Was ist jetzt zu tun?

Prüfen Sie umgehend, welche Version von JetBrains TeamCity in Ihrem Unternehmen im Einsatz ist. Aktualisieren Sie Ihre TeamCity-Instanzen unverzüglich auf die Version 2026.1.3, 2025.11.7 oder eine neuere, um die Schwachstelle zu schliessen. Überprüfen Sie zudem Ihre Systeme auf Anzeichen einer Kompromittierung, da die Lücke bereits aktiv ausgenutzt wird.

Quellen: NVD (CVE-2026-63077), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.