CVE-2026-63077: RCE Crítico no TeamCity com Exploração Ativa

A comunidade de segurança da informação foi colocada em alerta máximo nesta sexta-feira, 7 de agosto de 2026, com a confirmação da CVE-2026-63077 exploração ativa vulnerabilidade catalogada pela CISA no catálogo KEV (Known Exploited Vulnerabilities). Trata-se de uma falha de desserialização de dados não confiáveis no JetBrains TeamCity, o popular servidor de integração contínua e entrega contínua (CI/CD) utilizado por milhares de organizações globalmente para automatizar pipelines de build, teste e deploy. A vulnerabilidade permite que um atacante remoto não autenticado execute código arbitrário no servidor afetado, comprometendo completamente o ambiente de desenvolvimento e, potencialmente, toda a cadeia de suprimento de software.

O que torna este cenário particularmente perigoso é a natureza do vetor: o protocolo de polling de agentes do TeamCity, projetado para comunicação legítima entre o servidor central e os agentes de build distribuídos, foi transformado em uma via de entrada para execução remota de código (RCE) sem qualquer exigência de credenciais. Em termos práticos, um atacante pode explorar a CVE-2026-63077 exploração ativa vulnerabilidade para assumir o controle total do servidor TeamCity, roubar segredos de build, chaves de API, certificados de assinatura de código e até mesmo injetar código malicioso nos artefatos de software produzidos pela organização — um cenário devastador que ecoa o ataque à SolarWinds em escala potencialmente igual ou superior.

A inclusão imediata no catálogo KEV da CISA, combinada com relatos de múltiplos fornecedores de inteligência de ameaças sobre exploração em ambientes reais, eleva esta vulnerabilidade à prioridade máxima de correção. Organizações que executam instâncias do TeamCity on-premises ou em nuvem híbrida devem agir nas próximas horas, não dias. A janela de proteção é zero: estamos diante de um zero-day que já está sendo ativamente weaponizado por grupos de ameaça ainda não totalmente identificados, mas com indicadores de comprometimento já circulando em feeds de threat intelligence. Na JRT Technology Solutions, nosso SOC já elevou o nível de monitoramento para todos os clientes que utilizam JetBrains TeamCity em suas frotas corporativas, e iniciamos varreduras emergenciais para identificação de instâncias vulneráveis.

O que é a CVE-2026-63077 e sua Exploração Ativa

Campo	Detalhe
CVE ID	CVE-2026-63077
CVSS Score	9.8 — CRITICAL
Vetor de Ataque	Network (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
Produtos Afetados	JetBrains TeamCity (todas as versões anteriores a 2024.12.3)
Tipo de Vulnerabilidade	CWE-502: Desserialização de Dados Não Confiáveis
Data de Publicação	07/08/2026
Patch Disponível	Sim — JetBrains TeamCity 2024.12.3
Exploração Ativa	⚠️ SIM — CISA KEV confirmada

A CVE-2026-63077 exploração ativa vulnerabilidade reside no mecanismo de desserialização do protocolo de comunicação entre o servidor TeamCity e seus agentes de build remotos. O protocolo de polling de agentes foi projetado para que agentes registrados consultem periodicamente o servidor em busca de novas tarefas de build. Durante esse processo, o servidor envia objetos serializados Java que contêm instruções de build, configurações e parâmetros. A falha decorre do fato de que o servidor TeamCity, em versões vulneráveis, realiza a desserialização desses objetos sem validação adequada de sua origem e integridade, permitindo que um atacante remoto envie um payload malicioso que, ao ser desserializado, resulta na execução arbitrária de código no contexto do processo do servidor.

Este tipo de vulnerabilidade — desserialização de dados não confiáveis (CWE-502) — é notoriamente perigoso em aplicações Java e .NET, pois a desserialização pode acionar cadeias de gadgets (gadget chains) que levam à execução remota de código, mesmo sem que o atacante tenha acesso a classes maliciosas personalizadas. Bibliotecas comuns presentes no classpath do TeamCity, como Apache Commons Collections, Spring Framework ou outras, podem fornecer os gadgets necessários para construir um exploit totalmente funcional. O fato de o vetor ser acessível via rede, sem autenticação (AV:N/PR:N), com baixa complexidade de ataque (AC:L) e sem interação do usuário (UI:N), justifica o score CVSS de 9.8, o mais alto possível para vulnerabilidades que não comprometem completamente a confidencialidade, integridade e disponibilidade do sistema (C:H/I:H/A:H).

Produtos e Versões Afetados pela CVE-2026-63077

O escopo de produtos afetados é bem definido, mas o impacto é amplo devido à popularidade do TeamCity em organizações de todos os portes. A vulnerabilidade afeta todas as builds do JetBrains TeamCity anteriores à versão 2024.12.3, incluindo as edições Professional e Enterprise. Isso abrange tanto instalações on-premises tradicionais quanto implantações em contêineres (imagens Docker oficiais do TeamCity). Importante destacar que instâncias expostas à internet são o alvo primário, mas ambientes internos também correm risco caso um atacante consiga acesso à rede corporativa por meio de outros vetores, como phishing ou comprometimento de VPN.

Abaixo, a lista detalhada de produtos e versões vulneráveis, incluindo as edições e cenários de implantação:

• JetBrains TeamCity Server (todas as edições) — versões anteriores a 2024.12.3
• JetBrains TeamCity Agent — agentes que se comunicam com servidores vulneráveis podem ser instrumentalizados para receber tarefas maliciosas após o comprometimento do servidor
• Imagens Docker oficiais do TeamCity — tags correspondentes a builds anteriores a 2024.12.3
• Instâncias TeamCity Cloud — embora gerenciadas pela JetBrains, organizações com configurações híbridas ou agentes auto-hospedados conectados a servidores cloud devem verificar as versões dos seus agentes e comunicar-se com o suporte JetBrains

Adicionalmente, é crucial verificar forks, distribuições customizadas ou ambientes de CI/CD que utilizem o TeamCity como backbone, mesmo que indiretamente. Na JRT Technology Solutions, nossa plataforma de gestão de vulnerabilidades e MDM corporativo permite identificar imediatamente todas as instâncias do TeamCity na frota de dispositivos e servidores dos nossos clientes, correlacionando versões instaladas com o banco de dados de CVEs para acionar alertas de remediação prioritária.

Como o Ataque Explora a CVE-2026-63077 — Análise do Vetor

O caminho de exploração da CVE-2026-63077 exploração ativa vulnerabilidade segue um modelo de ataque relativamente direto, mas de altíssimo impacto devido à arquitetura do TeamCity. O fluxo de ataque conceitual pode ser dividido em etapas distintas que ajudam as equipes de segurança a compreender os indicadores de comprometimento e implementar detecções proativas:

1. Reconhecimento e identificação de alvos: O atacante realiza varreduras na internet (via Shodan, Censys ou scripts customizados) buscando por instâncias do TeamCity expostas. A identificação é trivial, pois o TeamCity expõe endpoints característicos, como /login.html, /app/agents e cabeçalhos HTTP com assinaturas específicas. Ferramentas automatizadas já estão sendo utilizadas em campanhas de exploração em massa para localizar servidores vulneráveis.
2. Interação com o protocolo de polling de agentes: O atacante estabelece uma conexão com o servidor TeamCity e simula o comportamento de um agente de build legítimo. O protocolo de polling de agentes, em versões vulneráveis, aceita requisições não autenticadas em portas específicas (por padrão, 9090 para comunicação com agentes, embora configurações personalizadas possam usar portas alternativas). O atacante envia uma requisição especialmente criada contendo um objeto serializado malicioso.
3. Entrega do payload de desserialização: O objeto serializado contém uma cadeia de gadgets que explora classes presentes no classpath do servidor TeamCity. Quando o servidor processa a requisição e realiza a desserialização, a cadeia de gadgets é acionada, culminando na execução de comandos arbitrários no sistema operacional subjacente. Payloads típicos incluem a execução de comandos como curl ou wget para download de um beacon de C2 (Command and Control), ou diretamente a execução de um reverse shell.
4. Estabelecimento de persistência e movimento lateral: Com a execução remota de código inicial, o atacante implanta mecanismos de persistência — novos agentes maliciosos registrados no servidor, agendamento de tarefas via cron (Linux) ou Task Scheduler (Windows), backdoors em scripts de inicialização do TeamCity. A partir do servidor TeamCity, o atacante possui acesso a todos os segredos gerenciados: chaves SSH, tokens de API de repositórios Git (GitHub, GitLab, Bitbucket), credenciais de nuvem (AWS, Azure, GCP), certificados de assinatura de código e acesso aos pipelines de CI/CD.
5. Comprometimento da cadeia de suprimento de software: O estágio mais crítico ocorre quando o atacante utiliza o acesso ao servidor TeamCity para modificar builds, injetar código malicioso em binários, bibliotecas ou contêineres que serão distribuídos para clientes e usuários finais. Este é o cenário de pesadelo da cadeia de suprimento, similar ao ataque à SolarWinds, mas com um vetor de entrada muito mais simples e com menor necessidade de sofisticação para a exploração inicial.

Relatórios preliminares de inteligência de ameaças, citados em veículos como The Hacker News e BleepingComputer, indicam que a exploração ativa da CVE-2026-63077 exploração ativa vulnerabilidade está sendo conduzida por pelo menos dois clusters de ameaça distintos. Um deles, ainda não atribuído oficialmente, parece focar em espionagem industrial e roubo de propriedade intelectual — particularmente direcionado a empresas de software, fintechs e setores de manufatura avançada que utilizam TeamCity para gerenciar seus pipelines de build proprietários. O segundo cluster demonstra características de grupos de ransomware, possivelmente relacionados a afiliados do ecossistema LockBit ou ALPHV, que veem no comprometimento de servidores CI/CD uma via rápida para extorsão, ameaçando vazar código-fonte e segredos corporativos.

Impacto Real para Empresas — Além da Execução de Código

O impacto da CVE-2026-63077 exploração ativa vulnerabilidade transcende o comprometimento técnico do servidor. Estamos falando de um ataque que atinge o coração do processo de desenvolvimento de software — o pipeline de CI/CD. As consequências se desdobram em múltiplas dimensões de risco empresarial:

Integridade do software e confiança do cliente: Se um atacante modificar artefatos de build, cada cliente que instalar ou atualizar o software da organização afetada estará potencialmente executando código malicioso. Isso pode levar a recalls de software, notificações a órgãos reguladores, perda de certificações (como ISO 27001, SOC 2) e danos irreparáveis à reputação. No contexto brasileiro, a LGPD (Lei Geral de Proteção de Dados) impõe obrigações rigorosas quanto à segurança dos dados pessoais processados por sistemas; um incidente que exponha dados pessoais através de um software comprometido pode resultar em multas de até 2% do faturamento, limitadas a R$ 50 milhões por infração.

Exfiltração de propriedade intelectual: O servidor TeamCity armazena e gerencia o código-fonte completo de múltiplos projetos, incluindo históricos de commit, branches e segredos. O roubo desse material representa perda de vantagem competitiva, possíveis violações de contratos de confidencialidade com parceiros e clientes, e exposição de vulnerabilidades adicionais que possam ser exploradas em ataques futuros.

Interrupção operacional e custos de remediação: A contenção de um incidente desta magnitude frequentemente exige o isolamento completo do ambiente de desenvolvimento, reconstrução de servidores a partir de backups confiáveis, rotação de todos os segredos e credenciais (um processo massivo e complexo), auditoria forense de builds históricos e, em muitos casos, a suspensão temporária das operações de desenvolvimento — paralisando lançamentos e impactando diretamente o time-to-market.

Adicionalmente, normas de compliance como PCI-DSS (para organizações que processam pagamentos) e HIPAA (para entidades de saúde com presença nos EUA) exigem notificação obrigatória de incidentes dentro de prazos específicos, sob pena de sanções severas. Na JRT Technology Solutions, auxiliamos nossos clientes a navegar esse complexo cenário regulatório, fornecendo análises de impacto detalhadas e planos de remediação alinhados aos requisitos de cada framework.

Como se Proteger da CVE-2026-63077 — Plano de Ação Imediata

A correção da CVE-2026-63077 exploração ativa vulnerabilidade deve ser tratada como prioridade absoluta de segurança. Abaixo, um roteiro de mitigação completo, desde ações emergenciais de contenção até a aplicação do patch e verificação pós-remediação. Cada minuto conta: instâncias do TeamCity expostas estão sendo escaneadas e comprometidas em questão de segundos após a descoberta pelos atacantes.

1. Isole imediatamente instâncias vulneráveis (ação de contenção): Se você ainda não pode aplicar o patch neste exato momento, restrinja o acesso de rede ao servidor TeamCity. Utilize regras de firewall (iptables, nftables, Windows Firewall, security groups em nuvem) para bloquear todo o tráfego de entrada para as portas do TeamCity (8080, 8443, 9090, e quaisquer portas customizadas) exceto de IPs administrativos confiáveis. Se a instância estiver exposta à internet, remova imediatamente qualquer regra de NAT ou encaminhamento de porta que possibilite o acesso externo. Esta é uma medida temporária mas vital enquanto você prepara a atualização.
2. Aplique o patch oficial JetBrains TeamCity 2024.12.3 imediatamente: A JetBrains já disponibilizou a versão corrigida TeamCity 2024.12.3. O processo de atualização é direto:
   • Faça o download do instalador atualizado no site oficial da JetBrains ou utilize o gerenciador de atualizações integrado do TeamCity (Administration > Updates).
   • Realize um backup completo do servidor TeamCity antes da atualização — isso inclui o diretório de dados, banco de dados e configurações. A JetBrains fornece scripts de backup na documentação oficial.
   • Execute a atualização e monitore os logs para garantir que o serviço reinicie corretamente.
   • Importante: Atualize também todos os agentes de build para a versão correspondente, especialmente agentes auto-hospedados que possam estar conectados a servidores cloud.
3. Implemente regras de detecção e monitoramento: Mesmo após a correção, é fundamental verificar indicadores de comprometimento (IoCs) que possam indicar que a exploração ocorreu antes da aplicação do patch. Na JRT Technology Solutions, nosso SOC monitora alertas CISA KEV em tempo real e já distribuiu indicadores de comprometimento para todos os endpoints gerenciados. Procure por:
   • Processos inesperados sendo executados pelo usuário do TeamCity (ex.: bash -i, nc, curl para IPs desconhecidos).
   • Novos agentes de build registrados que não correspondem a hosts legítimos.
   • Conexões de rede de saída para endereços suspeitos a partir do servidor TeamCity.
   • Modificações não autorizadas em configurações de build ou scripts de pipeline.
   • Arquivos serializados maliciosos ou payloads no sistema de arquivos temporários do servidor.
4. Realize a rotação de todos os segredos e credenciais: Assuma que o servidor pode ter sido comprometido e que todos os segredos armazenados no TeamCity foram exfiltrados. Imediatamente:
   • Rotacione todas as chaves SSH, tokens de API, senhas de serviço e certificados armazenados no TeamCity.
   • Revogue e reemita tokens de acesso para GitHub, GitLab, Bitbucket, Docker Hub, AWS IAM, Azure AD, GCP Service Accounts e quaisquer outros serviços integrados.
   • Altere credenciais de contas de serviço que o TeamCity utiliza para autenticação.
5. Audite builds recentes em busca de adulterações: Se possível, compare hashes de artefatos de build gerados nas últimas semanas com versões anteriores de confiança, ou com builds gerados a partir de um ambiente limpo e isolado. Ferramentas de verificação de integridade e monitoramento de cadeia de suprimento, como SLSA (Supply-chain Levels for Software Artifacts) e Sigstore (Cosign), podem auxiliar nesta validação.
6. Fortaleça a arquitetura de segurança do CI/CD: Implemente segmentação de rede rigorosa, colocando servidores TeamCity em redes isoladas (VLANs separadas, microssegmentação com políticas Zero Trust). Exija autenticação multifator (MFA) para todos os acessos administrativos, e considere o uso de proxies reversos com autenticação adicional (como OAuth2/OpenID Connect) para a interface web do TeamCity. Restrinja as portas de agente para aceitar conexões apenas de IPs de agentes conhecidos e utilize certificados TLS mútuos (mTLS) para autenticar a comunicação entre servidor e agentes.
7. Mantenha vigilância contínua com gestão de vulnerabilidades: A exploração ativa de vulnerabilidades como a CVE-2026-63077 demonstra a importância de uma plataforma robusta de gestão de vulnerabilidades. Na JRT Technology Solutions, implementamos varredura contínua de CVEs para frotas corporativas, integrando feeds de inteligência de ameaças em tempo real e automatizando a priorização de patches críticos como este. Nosso serviço de MDM corporativo garante que todos os endpoints, servidores e dispositivos móveis estejam com as versões corretas e configurações de segurança aplicadas, reduzindo drasticamente a janela de exposição.

Verificação Pós-Patch e Monitoramento Contínuo

Após a aplicação do patch para a CVE-2026-63077 exploração ativa vulnerabilidade, é essencial executar uma série de verificações para garantir que o ambiente está verdadeiramente seguro e que nenhum acesso persistente foi mantido por atacantes que possam ter explorado a falha antes da correção. A simples atualização do software não remove backdoors implantados durante o período de comprometimento.

Além dos IoCs mencionados anteriormente, recomendamos uma análise forense completa do sistema:

• Examine os logs do TeamCity (localizados em <TeamCity Data Directory>/logs/) em busca de entradas anômalas. Procure por falhas de desserialização, exceções ClassNotFoundException com nomes de classes incomuns, e conexões de agentes de IPs não reconhecidos. Logs de acesso HTTP também podem revelar requisições POST suspeitas para endpoints de agente.
• Monitore processos e conexões de rede com ferramentas como auditd (Linux), Sysmon (Windows), ou EDR/XDR corporativos. Qualquer processo filho do TeamCity que execute shells, comandos de rede ou scripts inesperados merece investigação imediata.
• Analise a integridade dos arquivos de configuração do TeamCity e dos projetos de build. Compare com backups anteriores ao patch. Modificações em arquivos como buildTypes.xml, vcsRoots.xml ou scripts de shell personalizados podem indicar adulteração.
• Execute scanners de vulnerabilidade para confirmar que a versão 2024.12.3 está efetivamente instalada e que nenhuma configuração incorreta reexpôs o serviço. Na JRT Technology Solutions, nossa plataforma realiza essa verificação automaticamente, atualizando o status de conformidade no dashboard de segurança dos clientes.

Se qualquer evidência de comprometimento for encontrada, a ação correta é reconstruir o servidor a partir de backups íntegros (certificando-se de que os backups não contêm a vulnerabilidade) e realizar a rotação completa de segredos conforme descrito anteriormente. Não tente simplesmente limpar um servidor comprometido — a persistência do adversário pode ser profunda e oculta.

Contexto Histórico e Comparativo — Desserialização como Vetor Recorrente

A CVE-2026-63077 exploração ativa vulnerabilidade não é um caso isolado. Vulnerabilidades de desserialização insegura têm sido, consistentemente, uma das classes mais perigosas e exploradas em ecossistemas Java e .NET. Em 2021, a CVE-2021-44228 (Log4Shell) demonstrou como uma falha de execução remota de código pode paralisar o mundo, mas a desserialização tem um histórico igualmente sombrio. A CVE-2019-11580 no Atlassian Crowd, a CVE-2020-2555 no Oracle WebLogic, e múltiplas vulnerabilidades em produtos Apache (como a recente CVE-2025-24813 no Apache Tomcat, citada em conjunto com a CVE-2026-34486 nos alertas