JetBrains日前发出警告，其TeamCity DevOps平台存在一个严重安全漏洞，未经身份验证的攻击者可借此在存在漏洞的服务器上执行任意操作系统命令。
JetBrains在安全公告中表示："一旦该漏洞被利用，拥有HTTP(S)访问权限的未授权攻击者可绕过身份验证检查，并执行任意命令。"
该漏洞编号为CVE-2026-63077，影响所有TeamCity本地部署版本，已在2025.11.7和2026.1.3版本中完成修复。
JetBrains警告称，该漏洞可能导致构建环境、存储的凭证以及软件供应链面临安全风险。对于暂时无法升级的用户，官方建议立即部署安全补丁插件。TeamCity云版本用户无需采取任何措施。
据JetBrains介绍，该漏洞存在于TeamCity的代理轮询协议中，攻击者可利用HTTP(S)访问权限绕过身份验证，并以TeamCity服务器进程的权限执行代码。
该漏洞的CVSS评分高达9.8分（满分10分），无需任何身份验证或用户交互即可触发，这使得暴露在互联网上的TeamCity服务器成为极具吸引力的攻击目标。该漏洞被归类为CWE-502（非结构化数据的反序列化），可通过受影响的代理轮询协议发送精心构造的数据，触发远程代码执行（RCE）。
JetBrains补充说："根据TeamCity服务器进程所被授予的权限，一次成功的攻击可能导致TeamCity数据、配置和存储凭证遭到泄露，服务器状态被篡改，甚至可能危及构建产物和下游CI/CD流水线的完整性。"
该漏洞由安全研究员Antoni Tremblay于7月10日通过JetBrains的协调披露流程私下报告。JetBrains表示，在发布安全公告时，尚未发现该漏洞被主动利用的证据。
升级与缓解措施
JetBrains建议用户直接升级至TeamCity 2025.11.7或2026.1.3版本，这两个版本均包含针对该漏洞的永久修复方案。
对于暂时无法立即升级的组织，可部署安全补丁插件，该插件适用于TeamCity 2017.1及更高版本。运行2017.1至2018.1版本的服务器在安装插件后需要重启，而更新的受支持版本则无需重启即可启用修复。
对于无法立即应用上述任一缓解措施且服务器对外公开访问的管理员，JetBrains建议限制外部访问。"作为通用最佳实践，我们强烈建议在条件允许的情况下，将TeamCity服务器的网络访问限制在受信任网络范围内。同时建议以正常运行所需的最低操作系统权限运行TeamCity服务器。"
鉴于该漏洞无需身份验证即可触发，加之威胁行为者快速将TeamCity漏洞武器化的历史先例，运行自托管CI/CD基础设施的组织应将紧急修补工作置于常规维护窗口之上，优先处理。此外，安全公告还建议将TeamCity服务器运行在独立于构建代理的专用主机上。
Q&A
Q1：CVE-2026-63077漏洞会影响哪些版本的TeamCity？
A：该漏洞影响所有TeamCity本地部署（On-Premises）版本。已修复该漏洞的安全版本为2025.11.7和2026.1.3。TeamCity云版本用户不受影响，无需采取任何操作。
Q2：TeamCity漏洞CVE-2026-63077有多危险？
A：非常危险。该漏洞CVSS评分高达9.8分（满分10分），攻击者无需任何身份验证或用户交互，仅凭HTTP(S)访问权限即可触发漏洞，执行远程代码。成功攻击可导致服务器数据、配置和凭证泄露，并危及整个CI/CD流水线的完整性。
Q3：暂时无法升级TeamCity的用户应该怎么办？
A：JetBrains为无法立即升级的用户提供了安全补丁插件，适用于TeamCity 2017.1及更高版本。2017.1至2018.1版本安装后需重启服务器，较新版本无需重启。此外，建议将服务器网络访问限制在受信任网络内，并以最低必要权限运行服务器进程。
