近期，JetBrains 发布紧急安全公告，指出其本地部署版 TeamCity 存在一个极其严重的漏洞（CVE-2026-63077），CVSS 评分高达 9.8。该漏洞允许未经身份验证的远程攻击者在目标服务器上执行任意操作系统命令。考虑到 TeamCity 在 DevOps 流水线中的核心地位，一旦被攻陷，企业的整个软件供应链将面临被“一锅端”的风险。
漏洞技术原理与攻击链
从我们的应急响应经验来看，该漏洞的核心在于攻击者利用了 TeamCity 在处理 Agent 轮询协议（Agent Polling Protocol）时的逻辑缺陷。攻击者无需进行任何登录操作，仅需通过 HTTP(S) 访问目标服务器，即可绕过身份验证环节，直接向服务端发送精心构造的请求。
这一环节是很多企业容易忽视的。在实际生产环境中，许多 TeamCity 服务器为了方便开发人员远程连接，往往直接暴露在互联网上。攻击者利用该漏洞，可以以 TeamCity 服务进程的权限执行任意指令，从而窃取服务器配置、泄露存储的凭据，甚至直接篡改构建逻辑，向合法的发布包中植入恶意代码。
为什么该漏洞威胁巨大
类似攻击近年来明显增加，尤其是针对 CI/CD 工具的攻击，已成为黑产获取企业核心资产的“捷径”。TeamCity 作为企业构建与发布系统的枢纽，其权限往往与代码仓库、云端环境、生产服务器深度打通。一旦攻击者通过该漏洞取得权限，他们可以轻松实现横向移动，将攻击范围从单一的 CI 服务器扩展到整个研发网络。
虽然目前暂无证据表明该漏洞已被大规模利用，但鉴于漏洞利用的简易性，利用代码（PoC）极有可能在短期内被公开。
Solar 应急响应建议
针对此次漏洞，我们建议相关企业立即采取以下行动：
首先，请务必核实您的 TeamCity 版本。受影响用户应立即将本地部署版升级至 2025.11.7 或 2026.1.3 版本。对于无法立即升级的旧版本用户（2017.1 及以上版本），JetBrains 提供了官方安全补丁插件，请尽快完成部署。
其次，收敛暴露面。严禁将 TeamCity 的管理界面或 REST API 直接暴露在公网。建议将其部署在内网环境，并强制要求通过 VPN 或零信任网关访问。
最后，强化监控。建议在防火墙或 WAF 上配置针对该漏洞的流量特征检测，并密切关注服务器进程的异常行为，例如非构建任务触发的系统命令调用。
在供应链安全日益严峻的今天，CI/CD 工具的安全性已成为企业安全防线的重中之重。我们将持续关注该漏洞的后续动态，并为您提供实时预警。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com