La CISA (Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU.) ha advertido sobre la explotación activa de una vulnerabilidad crítica en JetBrains TeamCity (CVE-2026-63077). Este fallo permite que un atacante no autenticado ejecute código de forma remota en servidores TeamCity On-Premises vulnerables. Debido a la gravedad, la CISA incluyó el problema en su catálogo de vulnerabilidades explotadas el 5 de agosto.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. ha advertido que se está explotando activamente un fallo crítico de JetBrains TeamCity. La vulnerabilidad, seguida como CVE-2026-63077, puede permitir que un atacante no autenticado ejecute código remotamente en servidores vulnerables de TeamCity On-Premises.

CISA añadió el problema a su catálogo de Vulnerabilidades Explotadas Conocidas el 5 de agosto y estableció el 8 de agosto como fecha límite de remediación para las agencias civiles federales afectadas.

TeamCity es una plataforma de integración continua y entrega continua utilizada para construir, probar y desplegar software. Un compromiso de su servidor central puede crear un riesgo grave en la cadena de suministro.

Los atacantes pueden obtener acceso al código fuente, configuraciones de construcción, secretos almacenados, material de firma y conexiones de despliegue. También podrían alterar los resultados de la construcción o utilizar el servidor como punto de entrada a una red más amplia.

La debilidad se categoriza como CWE-502, deserialización de datos no confiables. Forma parte del protocolo de sondeo del agente de TeamCity, que soporta la comunicación entre los agentes de construcción y el servidor de TeamCity.

Vulnerabilidad RCE de TeamCity Explotada

Según la descripción de la vulnerabilidad, un atacante remoto con acceso HTTP o HTTPS puede explotar el fallo para saltarse los controles de autenticación y ejecutar comandos del sistema operativo con los privilegios del proceso del servidor TeamCity. No se requiere ninguna cuenta válida.

JetBrains afirmó que todas las versiones de TeamCity On-Premises estaban afectadas antes de las correcciones de seguridad. La compañía lanzó las versiones parcheadas 2025.11.7 y 2026.1.3.

Las organizaciones que no puedan actualizar inmediatamente pueden utilizar el plugin de parche de seguridad de JetBrains en TeamCity 2017.1 y posteriores. Sin embargo, el plugin aborda solo esta vulnerabilidad, por lo que una actualización completa sigue siendo la respuesta preferida a largo plazo.

Los clientes de TeamCity Cloud no necesitan tomar ninguna medida, ya que el proveedor ya ha implementado las protecciones requeridas. La alerta de CISA aumenta la urgencia porque confirma la explotación en ataques reales.

La agencia no ha identificado públicamente el uso de ransomware para este problema específico, y su entrada en el catálogo indica que dicho estado es desconocido. Aun así, los sistemas CI/CD expuestos son objetivos de alto valor.

Los actores de amenazas han atacado repetidamente las vulnerabilidades de TeamCity para obtener acceso inicial, robar credenciales y moverse lateralmente a través de entornos empresariales.

Tú, como administrador, deberías identificar primero cada instalación de TeamCity On-Premises, incluyendo los sistemas de desarrollo, prueba y recuperación ante desastres.

Deberías actualizar urgentemente a una versión corregida o desplegar el parche del proveedor donde no se pueda completar una actualización antes de la fecha límite. Los equipos de seguridad deben restringir el acceso a TeamCity a usuarios, agentes y redes de confianza, eliminando la exposición pública innecesaria.

También deberías revisar los registros del servidor y web en busca de actividad de sondeo de agentes inusual, acciones de administrador inesperadas, plugins desconocidos, cuentas nuevas y ejecución de comandos sospechosos.

Las organizaciones deben preservar los registros relevantes y la evidencia del sistema antes de realizar cambios importantes si se sospecha de un compromiso. Deberías rotar credenciales, tokens, certificados y otros secretos almacenados o accesibles a través de la plataforma, y luego inspeccionar las construcciones recientes y los artefactos de lanzamiento en busca de cambios no autorizados.

CISA también aconseja a las partes interesadas evaluar la exposición a Internet de cada activo y seguir sus requisitos de triaje forense y parcheo basado en riesgos.

La remediación rápida es esencial: una ejecución remota de código no autenticada en un servidor de construcción puede escalar rápidamente a un incidente completo de la cadena de suministro de software. El monitoreo debe continuar después de que la remediación se haya completado.

Fuentes:
https://cybersecuritynews.com/teamcity-rce-vulnerability-actively-exploited/