CISA: Fidye yazılımı grupları kritik JetBrains TeamCity açığını kullanıyor

BleepingComputer, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (CISA) çarşamba günü federal kurumları, fidye yazılımı gruplarının JetBrains TeamCity’deki kritik kimlik doğrulama atlama açığı CVE-2026-63077’i kullandığı konusunda uyardığını bildirdi.

JetBrains açığı 25 Temmuz’da TeamCity On-Premises’in 2025.11.7 ve 2026.1.3 sürümlerinde düzeltti. Şirket, HTTP(S) erişimi olan kimlik doğrulanmamış bir saldırganın TeamCity agent polling protocol üzerinden kimlik doğrulama kontrollerini aşarak TeamCity sunucu işleminin ayrıcalıklarıyla rastgele işletim sistemi komutları çalıştırabileceğini söyledi. Başarılı bir saldırı TeamCity verilerini, yapılandırmalarını ve saklanan kimlik bilgilerini açığa çıkarabilir; sunucu durumunu değiştirebilir ve derleme yapılarıyla alt CI/CD işlem hatlarının bütünlüğünü tehlikeye atabilir.

CISA, CVE-2026-63077’i 5 Ağustos’ta Known Exploited Vulnerabilities Catalog’a ekledi ve ABD federal kurumlarına devam eden saldırılara karşı ağlarını üç gün içinde güvenceye almalarını emretti. JetBrains 7 Ağustos’ta açığın gerçek saldırılarda kullanıldığını doğruladı, ihlal göstergelerini yayımladı ve hemen yama uygulayamayan müşterilerden erişimi güvenilir ağlarla sınırlamalarını istedi. CISA, bu CVE’yi hedef alan saldırılar hakkında bilgi paylaşmadı.

Shadowserver, yaması uygulanmamış 160’tan biraz fazla TeamCity sunucusunu izliyor; bu sayı başlangıçta internete açık ve savunmasız olan 700 sunucudan düşmüş durumda. ABD ve Birleşik Krallık siber güvenlik kurumları Ekim 2024’te, Rusya’nın Foreign Intelligence Service’ine (SVR) bağlı APT29’un savunmasız JetBrains TeamCity ve Zimbra sunucularını büyük ölçekte hedef aldığını da bildirmişti. JetBrains, TeamCity’yi 30.000’den fazla DevOps ekibinin kullandığını söylüyor.