Kritische TeamCity-Lücke ermöglicht OS-Befehle ohne Login

JetBrains warnt vor einer kritischen Sicherheitslücke in TeamCity On-Premises (CVE-2026-63077, CVSS 9.8), die unauthentifizierte Angreifer zur Ausführung beliebiger Code ermöglicht. Nutzer sollten auf die Versionen 2025.11.7 oder 2026.1.3 aktualisieren.

28. Juli 20262 min Lesezeit

FlowKI RedaktionKI-unterstützt

Dieser Beitrag wurde mit KI-Unterstützung aus der angegebenen Quelle erstellt und vor der Veröffentlichung automatisch gegen sie abgeglichen. Nicht jeder Beitrag wird zusätzlich von Hand gelesen — wir prüfen stichprobenweise nach und kennzeichnen Korrekturen. Beruht ein Artikel auf einem selbst durchgeführten Test, weisen wir das ausdrücklich aus.

Kritische Sicherheitslücke in TeamCity entdeckt

JetBrains hat eine kritische Sicherheitslücke in TeamCity On-Premises identifiziert, die es unauthentifizierten Angreifern ermöglicht, beliebige Betriebssystem-Befehle auszuführen. Das Unternehmen ruft alle Kunden von On-Premises-Installationen dringend zur Aktualisierung auf.

Details der Vulnerability

Die Lücke trägt die Bezeichnung CVE-2026-63077 und erhielt eine CVSS-Bewertung von 9.8 – damit liegt sie in der höchsten kritischen Kategorie. Sie betrifft alle Versionen von TeamCity On-Premises und ermöglicht die Ausführung beliebigen Codes ohne vorherige Authentifizierung. Dies stellt eine erhebliche Bedrohung dar, da Angreifer potenziell vollständige Kontrolle über betroffene Systeme erlangen könnten.

Betroffene Versionen und Updates

JetBrains hat bereits Patches veröffentlicht:

TeamCity 2025.11.7 und später
TeamCity 2026.1.3 und später

Nutzer sollten ihre Installationen sofort überprüfen und auf diese Versionen upgraden. TeamCity Cloud-Instanzen sind bereits geschützt und benötigen keine sofortige Maßnahme durch den Nutzer.

Handlungsempfehlungen

Für On-Premises-Administratoren gelten folgende Prioritäten:

Sofort prüfen: Welche TeamCity-Version läuft aktuell im Einsatz?
Aktualisieren: Upgrade auf die gepatchten Versionen durchführen
Überwachen: Logs auf verdächtige unauthentifizierte Zugriffe prüfen
Isolieren: Bis zur Aktualisierung sollte der Zugriff auf TeamCity-Instanzen eingeschränkt werden

Hintergrund

TeamCity ist ein weit verbreitetes CI/CD-Tool von JetBrains, das in vielen Entwicklungs-Pipelines eingesetzt wird. Eine kritische Lücke dieser Art kann schnell zum Ausgangspunkt für umfassendere Kompromittierungen werden – besonders, da CI/CD-Systeme häufig Zugang zu Quellcode, Secrets und Deployment-Infrastruktur haben.

Nächste Schritte

Unternehmen, die TeamCity On-Premises betreiben, sollten ihre Patch-Management-Prozesse aktivieren. Bei größeren Installationen empfiehlt sich eine Risikoanalyse für den Fall, dass Systeme noch nicht geupdatet wurden. JetBrains stellt auf ihrer Website zusätzliche Details und Support-Informationen bereit.