JetBrains, TeamCity'deki Kritik Uzaktan Kod Yürütme Açığını Yamaladı

JetBrains, TeamCity On-Premises üzerinde tespit edilen ve kimlik doğrulaması gerektirmeyen kritik seviyedeki bir güvenlik açığı için acil durum yamaları yayınladı. CVE-2026-63077 koduyla takip edilen ve CVSS puanı 9.8 olarak belirlenen bu zafiyet, saldırganların HTTP/S protokolü üzerinden kimlik doğrulama mekanizmalarını atlatarak Remote Code Execution (RCE) gerçekleştirmesine olanak tanıyor.

Söz konusu açık, saldırganların TeamCity aracısı yoklama protokolünü kullanarak sunucu süreci yetkileriyle rastgele işletim sistemi komutları çalıştırmasına imkan veriyor. Bu durum, sunucu verilerine ve yapılandırmalarına erişimin yanı sıra, CI/CD süreçlerinin ve derleme çıktılarının ele geçirilmesi gibi ciddi riskleri beraberinde getiriyor. Şirket, şu an için bu açığın siber saldırılarda aktif olarak kullanıldığına dair herhangi bir kanıt bulunmadığını belirtti.

Zafiyetten etkilenen tüm şirket içi kurulumlar için 2025.11.7 ve 2026.1.3 sürümleriyle gerekli düzeltmeler kullanıma sunuldu. Güncelleme yapamayan kullanıcılar için ise 2017.1 ve üzeri sürümlerle uyumlu özel bir güvenlik eklentisi yayınlandı. JetBrains, internete açık olan sunucuların erişiminin sınırlandırılmasını, sunucuların minimum işletim sistemi yetkileriyle çalıştırılmasını ve yapılandırmalarda VPN gibi ek koruma katmanlarının kullanılmasını tavsiye ediyor.