{"id":2080,"date":"2026-08-07T08:59:11","date_gmt":"2026-08-07T11:59:11","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/08\/07\/cve-2026-63077-rce-critico-no-teamcity-com-exploracao-ativa\/"},"modified":"2026-08-07T08:59:11","modified_gmt":"2026-08-07T11:59:11","slug":"cve-2026-63077-rce-critico-no-teamcity-com-exploracao-ativa","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/08\/07\/cve-2026-63077-rce-critico-no-teamcity-com-exploracao-ativa\/","title":{"rendered":"CVE-2026-63077: RCE Cr\u00edtico no TeamCity com Explora\u00e7\u00e3o Ativa"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

A comunidade de seguran\u00e7a da informa\u00e7\u00e3o foi colocada em alerta m\u00e1ximo nesta sexta-feira, 7 de agosto de 2026, com a confirma\u00e7\u00e3o da CVE-2026-63077 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> catalogada pela CISA no cat\u00e1logo KEV (Known Exploited Vulnerabilities). Trata-se de uma falha de desserializa\u00e7\u00e3o de dados n\u00e3o confi\u00e1veis no JetBrains TeamCity<\/strong>, o popular servidor de integra\u00e7\u00e3o cont\u00ednua e entrega cont\u00ednua (CI\/CD) utilizado por milhares de organiza\u00e7\u00f5es globalmente para automatizar pipelines de build, teste e deploy. A vulnerabilidade permite que um atacante remoto n\u00e3o autenticado execute c\u00f3digo arbitr\u00e1rio no servidor afetado, comprometendo completamente o ambiente de desenvolvimento e, potencialmente, toda a cadeia de suprimento de software.<\/p>\n

O que torna este cen\u00e1rio particularmente perigoso \u00e9 a natureza do vetor: o protocolo de polling de agentes do TeamCity, projetado para comunica\u00e7\u00e3o leg\u00edtima entre o servidor central e os agentes de build distribu\u00eddos, foi transformado em uma via de entrada para execu\u00e7\u00e3o remota de c\u00f3digo (RCE) sem qualquer exig\u00eancia de credenciais. Em termos pr\u00e1ticos, um atacante pode explorar a CVE-2026-63077 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> para assumir o controle total do servidor TeamCity, roubar segredos de build, chaves de API, certificados de assinatura de c\u00f3digo e at\u00e9 mesmo injetar c\u00f3digo malicioso nos artefatos de software produzidos pela organiza\u00e7\u00e3o \u2014 um cen\u00e1rio devastador que ecoa o ataque \u00e0 SolarWinds em escala potencialmente igual ou superior.<\/p>\n

A inclus\u00e3o imediata no cat\u00e1logo KEV da CISA, combinada com relatos de m\u00faltiplos fornecedores de intelig\u00eancia de amea\u00e7as sobre explora\u00e7\u00e3o em ambientes reais, eleva esta vulnerabilidade \u00e0 prioridade m\u00e1xima de corre\u00e7\u00e3o. Organiza\u00e7\u00f5es que executam inst\u00e2ncias do TeamCity on-premises ou em nuvem h\u00edbrida devem agir nas pr\u00f3ximas horas, n\u00e3o dias. A janela de prote\u00e7\u00e3o \u00e9 zero: estamos diante de um zero-day<\/strong> que j\u00e1 est\u00e1 sendo ativamente weaponizado por grupos de amea\u00e7a ainda n\u00e3o totalmente identificados, mas com indicadores de comprometimento j\u00e1 circulando em feeds de threat intelligence. Na JRT Technology Solutions<\/strong>, nosso SOC j\u00e1 elevou o n\u00edvel de monitoramento para todos os clientes que utilizam JetBrains TeamCity em suas frotas corporativas, e iniciamos varreduras emergenciais para identifica\u00e7\u00e3o de inst\u00e2ncias vulner\u00e1veis.<\/p>\n

O que \u00e9 a CVE-2026-63077 e sua Explora\u00e7\u00e3o Ativa<\/h3>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-63077<\/td>\n<\/tr>\n
CVSS Score<\/td>\n9.8 \u2014 CRITICAL<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork (CVSS:3.1\/AV:N\/AC:L\/PR:N\/UI:N\/S:U\/C:H\/I:H\/A:H)<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nJetBrains TeamCity (todas as vers\u00f5es anteriores a 2024.12.3)<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-502: Desserializa\u00e7\u00e3o de Dados N\u00e3o Confi\u00e1veis<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n07\/08\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 JetBrains TeamCity 2024.12.3<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A CVE-2026-63077 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> reside no mecanismo de desserializa\u00e7\u00e3o do protocolo de comunica\u00e7\u00e3o entre o servidor TeamCity e seus agentes de build remotos. O protocolo de polling de agentes foi projetado para que agentes registrados consultem periodicamente o servidor em busca de novas tarefas de build. Durante esse processo, o servidor envia objetos serializados Java que cont\u00eam instru\u00e7\u00f5es de build, configura\u00e7\u00f5es e par\u00e2metros. A falha decorre do fato de que o servidor TeamCity, em vers\u00f5es vulner\u00e1veis, realiza a desserializa\u00e7\u00e3o desses objetos sem valida\u00e7\u00e3o adequada de sua origem e integridade, permitindo que um atacante remoto envie um payload malicioso que, ao ser desserializado, resulta na execu\u00e7\u00e3o arbitr\u00e1ria de c\u00f3digo no contexto do processo do servidor.<\/p>\n

Este tipo de vulnerabilidade \u2014 desserializa\u00e7\u00e3o de dados n\u00e3o confi\u00e1veis (CWE-502<\/strong>) \u2014 \u00e9 notoriamente perigoso em aplica\u00e7\u00f5es Java e .NET, pois a desserializa\u00e7\u00e3o pode acionar cadeias de gadgets (gadget chains) que levam \u00e0 execu\u00e7\u00e3o remota de c\u00f3digo, mesmo sem que o atacante tenha acesso a classes maliciosas personalizadas. Bibliotecas comuns presentes no classpath do TeamCity, como Apache Commons Collections, Spring Framework ou outras, podem fornecer os gadgets necess\u00e1rios para construir um exploit totalmente funcional. O fato de o vetor ser acess\u00edvel via rede, sem autentica\u00e7\u00e3o (AV:N\/PR:N), com baixa complexidade de ataque (AC:L) e sem intera\u00e7\u00e3o do usu\u00e1rio (UI:N), justifica o score CVSS de 9.8<\/strong>, o mais alto poss\u00edvel para vulnerabilidades que n\u00e3o comprometem completamente a confidencialidade, integridade e disponibilidade do sistema (C:H\/I:H\/A:H).<\/p>\n

Produtos e Vers\u00f5es Afetados pela CVE-2026-63077<\/h3>\n

O escopo de produtos afetados \u00e9 bem definido, mas o impacto \u00e9 amplo devido \u00e0 popularidade do TeamCity em organiza\u00e7\u00f5es de todos os portes. A vulnerabilidade afeta todas as builds do JetBrains TeamCity anteriores \u00e0 vers\u00e3o 2024.12.3<\/strong>, incluindo as edi\u00e7\u00f5es Professional e Enterprise. Isso abrange tanto instala\u00e7\u00f5es on-premises tradicionais quanto implanta\u00e7\u00f5es em cont\u00eaineres (imagens Docker oficiais do TeamCity). Importante destacar que inst\u00e2ncias expostas \u00e0 internet s\u00e3o o alvo prim\u00e1rio, mas ambientes internos tamb\u00e9m correm risco caso um atacante consiga acesso \u00e0 rede corporativa por meio de outros vetores, como phishing ou comprometimento de VPN.<\/p>\n

Abaixo, a lista detalhada de produtos e vers\u00f5es vulner\u00e1veis, incluindo as edi\u00e7\u00f5es e cen\u00e1rios de implanta\u00e7\u00e3o:<\/p>\n