{"id":2056,"date":"2026-08-06T08:58:06","date_gmt":"2026-08-06T11:58:06","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/08\/06\/cve-2026-63077-rce-critica-no-jetbrains-teamcity-sob-explora\/"},"modified":"2026-08-06T08:58:06","modified_gmt":"2026-08-06T11:58:06","slug":"cve-2026-63077-rce-critica-no-jetbrains-teamcity-sob-explora","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/08\/06\/cve-2026-63077-rce-critica-no-jetbrains-teamcity-sob-explora\/","title":{"rendered":"CVE-2026-63077: RCE Cr\u00edtica no JetBrains TeamCity Sob Explora\u00e7\u00e3o Ativa"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

Nesta quinta-feira, 6 de agosto de 2026, o cen\u00e1rio de amea\u00e7as cibern\u00e9ticas acendeu um alerta vermelho para equipes de seguran\u00e7a em todo o mundo. A CVE-2026-63077<\/strong>, uma vulnerabilidade de desserializa\u00e7\u00e3o de dados n\u00e3o confi\u00e1veis no JetBrains TeamCity<\/strong>, foi adicionada ao cat\u00e1logo Known Exploited Vulnerabilities (KEV)<\/strong> da CISA com status de explora\u00e7\u00e3o ativa confirmada<\/strong>. Esta CVE-2026-63077 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> permite que agentes de amea\u00e7a obtenham execu\u00e7\u00e3o remota de c\u00f3digo (RCE) sem autentica\u00e7\u00e3o pr\u00e9via, simplesmente abusando do protocolo de polling de agentes \u2014 um componente fundamental em qualquer pipeline de CI\/CD que utilize o TeamCity. O fato de estarmos diante de um zero-day com explora\u00e7\u00e3o in-the-wild torna este um dos eventos de seguran\u00e7a mais cr\u00edticos do ano.<\/p>\n

O ecossistema de desenvolvimento de software est\u00e1 sob ataque direto. Servidores TeamCity expostos \u2014 sejam on-premises ou em nuvens privadas \u2014 representam a porta de entrada para cadeias de suprimento inteiras. Um invasor que compromete o servidor de integra\u00e7\u00e3o cont\u00ednua ganha acesso a reposit\u00f3rios de c\u00f3digo-fonte, artefatos de build, credenciais de deploy e, potencialmente, ambientes de produ\u00e7\u00e3o. A CVE-2026-63077 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> n\u00e3o \u00e9 apenas mais um CVE na lista semanal de patches; \u00e9 um incidente de seguran\u00e7a com potencial de impacto em cascata que afeta desde startups at\u00e9 grandes corpora\u00e7\u00f5es que utilizam os produtos da JetBrains como espinha dorsal de seus processos de DevOps.<\/p>\n

Nas \u00faltimas 24 horas, m\u00faltiplas fontes de intelig\u00eancia de amea\u00e7as confirmaram ataques direcionados explorando esta falha. Os vetores observados incluem a instala\u00e7\u00e3o de web shells persistentes, roubo de vari\u00e1veis de ambiente contendo secrets de cloud providers e movimenta\u00e7\u00e3o lateral a partir do servidor TeamCity comprometido. A CISA refor\u00e7ou a urg\u00eancia ao enquadrar a vulnerabilidade na diretiva Binding Operational Directive (BOD) 22-01<\/strong>, que exige que ag\u00eancias federais americanas apliquem a mitiga\u00e7\u00e3o em prazos reduzid\u00edssimos. Para o setor privado, a mensagem \u00e9 a mesma: cada hora sem corre\u00e7\u00e3o representa uma janela de oportunidade para os atacantes.<\/p>\n

Neste artigo t\u00e9cnico, dissecamos a CVE-2026-63077<\/strong> em profundidade. Abordaremos o mecanismo interno da falha de desserializa\u00e7\u00e3o, as vers\u00f5es afetadas, o passo a passo conceitual do ataque, o impacto real para empresas \u2014 incluindo implica\u00e7\u00f5es regulat\u00f3rias sob a LGPD e GDPR \u2014 e, principalmente, um guia completo de mitiga\u00e7\u00e3o e verifica\u00e7\u00e3o. Como analistas de seguran\u00e7a s\u00eanior, nosso objetivo \u00e9 fornecer intelig\u00eancia acion\u00e1vel para que voc\u00ea proteja sua infraestrutura agora, n\u00e3o depois.<\/p>\n

O que \u00e9 a CVE-2026-63077 \u2014 Entendendo a Vulnerabilidade<\/h3>\n

A CVE-2026-63077<\/strong> \u00e9 uma vulnerabilidade de desserializa\u00e7\u00e3o de dados n\u00e3o confi\u00e1veis<\/strong> (CWE-502) presente no JetBrains TeamCity<\/strong>, especificamente no componente respons\u00e1vel pelo protocolo de polling de agentes<\/strong>. O TeamCity utiliza uma arquitetura distribu\u00edda onde agentes de build remotos se comunicam com o servidor central por meio de um protocolo propriet\u00e1rio. Neste processo, objetos serializados s\u00e3o transmitidos entre as partes. A falha reside na aus\u00eancia de valida\u00e7\u00e3o adequada durante a desserializa\u00e7\u00e3o desses objetos, permitindo que um atacante remoto envie payloads maliciosos que s\u00e3o executados no contexto do servidor TeamCity \u2014 frequentemente com privil\u00e9gios elevados.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-63077<\/td>\n<\/tr>\n
CVSS Score<\/td>\n9.1 \u2014 CRITICAL (antes da corre\u00e7\u00e3o: HIGH ativo)<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork (CVSS:3.1\/AV:N\/AC:L\/PR:N\/UI:N\/S:U\/C:H\/I:H\/A:H)<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nJetBrains TeamCity 2024.12 at\u00e9 2026.03.1 (todas as edi\u00e7\u00f5es)<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-502 \u2014 Desserializa\u00e7\u00e3o de Dados N\u00e3o Confi\u00e1veis<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n06\/08\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 TeamCity 2026.03.2 (build 147512)<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada, ataques in-the-wild<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Em termos pr\u00e1ticos, a CVE-2026-63077 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> \u00e9 a concretiza\u00e7\u00e3o de um pesadelo para times de AppSec: um componente de comunica\u00e7\u00e3o que, por design, precisa aceitar dados de agentes remotos, mas falha em verificar a integridade e a origem segura dos objetos serializados. O protocolo de polling de agentes foi projetado para operar em ambientes de rede confi\u00e1veis, mas a realidade das implanta\u00e7\u00f5es modernas \u2014 com agentes em nuvens h\u00edbridas, escrit\u00f3rios remotos e at\u00e9 mesmo redes de terceiros \u2014 torna a superf\u00edcie de ataque consideravelmente maior do que os engenheiros da JetBrains anteciparam originalmente.<\/p>\n

A desserializa\u00e7\u00e3o insegura \u00e9 uma classe de vulnerabilidade notoriamente perigosa. Diferentemente de inje\u00e7\u00f5es de SQL ou XSS, que exigem algum grau de interpreta\u00e7\u00e3o contextual, payloads de desserializa\u00e7\u00e3o frequentemente resultam em execu\u00e7\u00e3o direta de c\u00f3digo no momento da reconstitui\u00e7\u00e3o do objeto<\/strong>. N\u00e3o h\u00e1 necessidade de escalar privil\u00e9gios ou bypassar autentica\u00e7\u00f5es adicionais: o simples ato de processar o payload malicioso j\u00e1 concede ao atacante um shell no servidor. Este mecanismo \u00e9 particularmente devastador no TeamCity porque o servi\u00e7o afetado geralmente roda com permiss\u00f5es de sistema, j\u00e1 que precisa gerenciar builds, acessar reposit\u00f3rios e interagir com agentes remotos.<\/p>\n

An\u00e1lise T\u00e9cnica Detalhada da CVE-2026-63077<\/h3>\n

Aprofundando a an\u00e1lise t\u00e9cnica, a CVE-2026-63077<\/strong> reside no subsistema RemoteAgentPollingProtocol<\/strong>, respons\u00e1vel por gerenciar a comunica\u00e7\u00e3o bidirecional entre o servidor TeamCity e os agentes de build registrados. Durante o processo de polling, agentes enviam mensagens serializadas utilizando o formato bin\u00e1rio propriet\u00e1rio da JetBrains, baseado em JB Serialization<\/strong> \u2014 uma extens\u00e3o do mecanismo de serializa\u00e7\u00e3o nativo do Java com otimiza\u00e7\u00f5es para o ecossistema IntelliJ. O problema est\u00e1 no m\u00e9todo ObjectResolver.deserialize()<\/strong>, que n\u00e3o imp\u00f5e restri\u00e7\u00f5es de tipo (type filtering) durante a reconstitui\u00e7\u00e3o dos objetos.<\/p>\n

O fluxo normal de polling funciona assim: o agente envia uma mensagem de heartbeat contendo metadados da build, status de execu\u00e7\u00e3o e, opcionalmente, artefatos intermedi\u00e1rios. O servidor desserializa essa mensagem para atualizar o estado interno do pipeline. No entanto, um atacante que consiga se passar por um agente leg\u00edtimo \u2014 ou que esteja em posi\u00e7\u00e3o de interceptar e modificar o tr\u00e1fego \u2014 pode injetar um objeto serializado malicioso contendo uma gadget chain<\/strong> cuidadosamente constru\u00edda. Essa cadeia de gadgets explora classes dispon\u00edveis no classpath do TeamCity para, durante o processo de desserializa\u00e7\u00e3o, executar comandos arbitr\u00e1rios no sistema operacional hospedeiro.<\/p>\n

Pesquisadores de seguran\u00e7a identificaram pelo menos tr\u00eas gadget chains funcionais no classpath padr\u00e3o do TeamCity 2026.03.1, envolvendo combina\u00e7\u00f5es de bibliotecas como Apache Commons Collections<\/strong>, Spring Framework<\/strong> e a pr\u00f3pria IntelliJ Platform SDK<\/strong>. A mais perigosa dessas cadeias permite a execu\u00e7\u00e3o de comandos via Runtime.getRuntime().exec()<\/strong> sem exigir qualquer configura\u00e7\u00e3o adicional do servidor. O payload pode ser entregue em uma \u00fanica requisi\u00e7\u00e3o TCP para a porta 9090 (porta padr\u00e3o do polling de agentes), sem necessidade de autentica\u00e7\u00e3o, cookies de sess\u00e3o ou tokens CSRF.<\/p>\n

Um detalhe alarmante \u00e9 que a porta de polling de agentes (9090\/TCP) frequentemente \u00e9 exposta inadvertidamente em implanta\u00e7\u00f5es containerizadas ou em ambientes onde firewalls baseados em host n\u00e3o foram configurados adequadamente. Al\u00e9m disso, mesmo quando o acesso \u00e0 porta \u00e9 restrito internamente, atacantes que j\u00e1 comprometeram um agente de build \u2014 ou que operam em um segmento de rede lateral \u2014 podem pivotar para o servidor central utilizando esta vulnerabilidade, transformando um comprometimento limitado em uma invas\u00e3o total da infraestrutura de CI\/CD.<\/p>\n

Produtos e Vers\u00f5es Afetados pela CVE-2026-63077<\/h3>\n

A lista de vers\u00f5es afetadas pela CVE-2026-63077<\/strong> abrange um amplo espectro de releases do TeamCity, incluindo tanto edi\u00e7\u00f5es Professional<\/strong> quanto Enterprise<\/strong>. A JetBrains confirmou que a falha foi introduzida na vers\u00e3o 2024.12, quando o protocolo de polling foi refatorado para suportar novas funcionalidades de build distribu\u00eddo. A corre\u00e7\u00e3o est\u00e1 dispon\u00edvel exclusivamente na vers\u00e3o 2026.03.2 (build 147512)<\/strong>, lan\u00e7ada hoje em regime de emerg\u00eancia.<\/p>\n

Confira abaixo a rela\u00e7\u00e3o completa de produtos e vers\u00f5es impactados:<\/p>\n