JetBrains, TeamCity Sunucularını Ele Geçirmeye Olanak Tanıyan Kritik Açığı Kapattı

Yazılım geliştirme araçlarıyla tanınan JetBrains, TeamCity On-Premises sunucularını hedef alan ve sunucunun tamamen ele geçirilmesine yol açabilecek kritik bir zafiyet için harekete geçti. CVE-2026-63077 koduyla takip edilen ve 9.8 CVSS puanına sahip olan bu açık, saldırganların herhangi bir kimlik doğrulamasına ihtiyaç duymadan sunucu üzerinde keyfi işletim sistemi komutları çalıştırmasına imkan tanıyor.

Söz konusu zafiyet, HTTP veya HTTPS üzerinden erişilebilen tüm şirket içi sunucuları etkiliyor. Saldırganlar, ajan yoklama protokolü üzerinden sisteme erişerek kimlik doğrulama mekanizmalarını devre dışı bırakabiliyor. Bu durum, CI/CD süreçlerinin manipüle edilmesi, hassas verilere erişim sağlanması ve sunucu yapılandırmalarının değiştirilmesi gibi ciddi güvenlik risklerini beraberinde getiriyor. JetBrains, bulut tabanlı TeamCity Cloud örneklerinin halihazırda güncellendiğini ve güvende olduğunu belirtti.

Kurumların sunucularını 2025.11.7 veya 2026.1.3 sürümlerine yükseltmeleri tavsiye ediliyor. Hemen güncelleme yapamayan kuruluşlar için ise JetBrains, yalnızca bu zafiyeti hedef alan özel bir güvenlik yaması eklentisi yayınladı. Bu eklenti, 2017.1 ve sonraki tüm sürümlere yüklenebiliyor.

Şirket, güvenlik önlemlerini artırmak isteyen yöneticilere, sunuculara internet üzerinden doğrudan erişimi kısıtlamalarını ve VPN gibi ek güvenlik katmanları kullanmalarını öneriyor. Şu an için bu zafiyetin aktif olarak sömürüldüğüne dair bir bulguya rastlanmadı.