Alerta na Austrália: Falha crítica no TeamCity On-Premises está sendo ativamente explorada

Servidores CI/CD como o JetBrains TeamCity On-Premises são alvos de alto valor. Eles orquestram a construção, teste e deploy de software, então uma brecha ali pode contaminar toda a cadeia de suprimentos de software. A vulnerabilidade CVE-2026-63077 é crítica, com CVSS de 9.8. Ela permite que invasores não autenticados, com acesso HTTP(S) ao servidor, contornem a autenticação e executem comandos arbitrários no sistema operacional. Isso abre a porta para um controle total do servidor.

Não é a primeira vez que o TeamCity sofre com falhas graves. Em 2024, outras duas vulnerabilidades no software On-Premises foram amplamente exploradas, permitindo a um atacante não autenticado comprometer o servidor por completo. Já em 2023, uma falha crítica foi explorada por atores de estados-nação, incluindo grupos russos e norte-coreanos. Este histórico reforça a importância de manter esses sistemas sempre atualizados e devidamente protegidos.

A evolução da CVE-2026-63077 foi rápida. A JetBrains divulgou a falha e liberou os patches em julho de 2026. Contudo, em 5 de agosto de 2026, a CISA incluiu a vulnerabilidade em seu catálogo KEV (Known Exploited Vulnerabilities), indicando que ela já estava sob exploração ativa. Apenas dois dias depois, em 7 de agosto de 2026, a própria JetBrains confirmou os relatos de exploração e emitiu um novo alerta, reforçando a urgência da atualização para as versões 2025.11.7 ou 2026.1.3, ou a instalação do plugin de segurança. Agora, o Australian Cyber Security Centre (ACSC) reforça o alerta, mostrando que o problema já se espalhou globalmente, com incidentes confirmados na Austrália.

A exploração ativa de falhas de bypass de autenticação em plataformas essenciais como o TeamCity é uma tendência alarmante. O CEVIU News tem reportado casos semelhantes, como as explorações das falhas no N-able N-central em 4 de agosto de 2026 e 5 de agosto de 2026, as vulnerabilidades no ServiceNow AI em 22 de julho de 2026, no Citrix NetScaler em 21 de agosto de 2026, no SharePoint em 17 de julho de 2026, e na Palo Alto GlobalProtect em 1 de junho de 2026. Esses eventos demonstram a velocidade com que atacantes conseguem capitalizar novas vulnerabilidades críticas.

Comprometer um servidor CI/CD pode levar a cenários desastrosos, desde a injeção de código malicioso em aplicativos legítimos até o acesso a informações sensíveis e a infraestrutura de deployment. A exposição pública desses servidores e a demora na aplicação de patches criam uma janela de oportunidade perigosa. Organizações devem priorizar a revisão de suas configurações e a aplicação imediata das correções, além de reavaliar a necessidade de expor tais interfaces diretamente à internet.