JetBrains ha anunciado una vulnerabilidad crítica en TeamCity On-Premises, identificada como CVE-2026-63077. Esta vulnerabilidad permite a los atacantes omitir la autenticación y ejecutar comandos arbitrarios de forma remota.

Afecta a todas las versiones de TeamCity On-Premises. Un atacante solo necesita acceso HTTP o HTTPS a un servidor de TeamCity vulnerable para explotar este problema, sin necesidad de una cuenta válida, contraseña o acceso previo.

Según JetBrains, el fallo reside en el protocolo de sondeo (polling) del agente de TeamCity. Un atacante remoto puede utilizar este protocolo para eludir las comprobaciones de autenticación y ejecutar comandos del sistema operativo con los mismos privilegios que el proceso del servidor de TeamCity.

Este nivel de acceso plantea riesgos graves para las organizaciones que utilizan TeamCity para gestionar compilaciones de software, lanzamientos y canales de CI/CD. Un ataque exitoso podría exponer credenciales almacenadas, archivos de configuración, datos de compilación y secretos del proyecto. Además, los atacantes podrían alterar la configuración de compilación, modificar artefactos o inyectar código malicioso en los lanzamientos de software posteriores.

Vulnerabilidad de JetBrains

JetBrains asignó el identificador CVE-2026-63077 a este problema después de que fuera reportado privadamente el 10 de julio de 2026 por el investigador de seguridad Antoni Tremblay a través del proceso de divulgación coordinada de la empresa.

La empresa ha parcheado la vulnerabilidad en las versiones de TeamCity 2025.11.7 y 2026.1.3. Se insta a los administradores a descargar e instalar una de estas versiones inmediatamente o a utilizar la función de actualización automática integrada donde esté disponible.

Para las organizaciones que no puedan actualizarse de inmediato, se puede instalar un plugin de parche de seguridad dedicado. Este plugin es compatible con las versiones de TeamCity 2017.1 y posteriores, y aborda específicamente la CVE-2026-63077.

Sin embargo, JetBrains enfatiza que aplicar el plugin es solo una solución temporal, ya que una actualización completa de la versión también proporciona correcciones de seguridad importantes.

Para los usuarios de la versión de TeamCity 2024.03 y posteriores, la plataforma puede descargar automáticamente los plugins de parches de seguridad disponibles y, cuando las notificaciones están activadas, avisar a los administradores. Las actualizaciones de seguridad se pueden comprobar desde el menú de Administración en Actualizaciones y Actualizaciones de Seguridad Disponibles.

Es importante que notes que los servidores que ejecutan TeamCity versiones 2017.1 a 2018.1 requerirán un reinicio después de instalar el plugin. Por el contrario, la versión de TeamCity 2018.2 y posteriores pueden activar el plugin de parche sin reiniciar el servidor.

JetBrains ha confirmado que los clientes de TeamCity Cloud no necesitan tomar ninguna medida, ya que la empresa ya ha implementado protecciones en sus entornos de nube y no ha encontrado evidencia de explotación de este fallo en las instancias de TeamCity Cloud.

En el momento de este anuncio, JetBrains indicó que no tenía conocimiento de ninguna explotación activa en el mundo real. No obstante, el riesgo de ejecución remota de código sin autenticación hace que la remediación inmediata sea crucial.

Como administrador, también deberías restringir el acceso a TeamCity a redes de confianza, colocar las instancias orientadas a internet detrás de una VPN u otra capa de control de acceso, y ejecutar el servicio de TeamCity con los privilegios mínimos del sistema operativo. Alojar los servidores de TeamCity separadamente de los agentes de compilación puede mitigar aún más el impacto de un posible compromiso.