Faille TeamCity CVE-2026-63077 : la chaîne d’attaque qui mène au rançongiciel
La faille TeamCity CVE-2026-63077, notée 9,8 sur 10, est maintenant utilisée par des groupes de rançongiciel. Le 23 septembre 2026, l’agence américaine CISA a ajouté la mention « utilisée dans des campagnes de rançongiciel » à cette faille, déjà inscrite à son catalogue des failles activement exploitées depuis le 5 août. JetBrains, l’éditeur de TeamCity, a publié le correctif à la fin de juillet 2026.
TeamCity est un serveur d’intégration continue (CI) : c’est lui qui compile, teste et livre automatiquement les logiciels d’une équipe de développement. Si votre PME développe ses propres applications, ou si un fournisseur le fait pour vous, il y a peut-être un TeamCity quelque part dans la chaîne.
Ce qu’il faut savoir en 30 secondes
- Versions touchées : TeamCity On-Premises jusqu’à 2025.11.6 et 2026.1.2. Les versions 2025.11.7 et 2026.1.3 corrigent la faille; un module correctif existe pour les versions plus anciennes (2017.1 et plus).
- Attaque sans mot de passe : un simple accès réseau (HTTP ou HTTPS) au serveur suffit pour y exécuter des commandes.
- Même JetBrains a été touché : son service Cadence, qui reposait sur un TeamCity non corrigé, a été piraté entre le 8 et le 24 août 2026. Les pirates ont accédé à une sauvegarde contenant des identifiants AWS et à des fichiers stockés dans les comptes AWS de JetBrains.
La chaîne d’attaque en 4 étapes
1Serveur CI exposé
Un serveur TeamCity On-Premises non corrigé est joignable depuis Internet en HTTP ou HTTPS, souvent pour permettre aux développeurs ou aux agents de compilation de s’y connecter de l’extérieur.
2Exécution de code sans mot de passe
Le pirate exploite la faille par le protocole d’interrogation des agents de compilation. Aucune authentification n’est requise : il exécute des commandes avec les droits du serveur TeamCity.
3Vol des secrets
TeamCity contient les clés qui font tourner vos livraisons : accès infonuagiques (AWS, Azure), jetons GitHub, mots de passe de déploiement, parfois des clés de signature de code.
4Rançongiciel ou pivot
Avec ces secrets, le pirate chiffre vos serveurs, se déplace vers vos comptes infonuagiques ou modifie vos logiciels compilés pour atteindre vos clients.
Le danger d’une faille TeamCity dépasse le serveur lui-même : c’est un coffre-fort de clés. Une fois ces clés volées, corriger le serveur ne suffit plus, il faut aussi les remplacer.
Avez-vous un TeamCity exposé ?
Liste à cocher : faille TeamCity CVE-2026-63077
- ☐ Avez-vous (ou votre fournisseur de logiciels) un serveur TeamCity installé chez vous ou dans votre propre nuage ?
- ☐ Sa version est-elle 2025.11.7, 2026.1.3 ou plus récente, ou le module correctif de sécurité de JetBrains est-il installé ?
- ☐ Son adresse est-elle accessible depuis Internet sans VPN ni filtrage par adresse IP ?
- ☐ Y a-t-il dans la liste des agents non autorisés des agents inconnus, par exemple dont le nom commence par « scan » ?
- ☐ Les clés AWS, Azure, GitHub et de signature stockées dans TeamCity ont-elles été changées depuis la mise à jour ?
- ☐ Les journaux du serveur depuis juillet 2026 ont-ils été examinés par quelqu’un ?
Si vous cochez « oui » à la première question et « non » à la deuxième, traitez la situation comme une intrusion possible : retirez le serveur d’Internet, mettez-le à jour, changez tous les secrets qu’il contient et examinez les journaux. Si c’est votre fournisseur qui gère TeamCity, posez-lui ces questions par écrit.
Et si vous n’avez pas d’équipe de développement ?
La leçon reste la même que pour les outils comme Jira et Confluence : les outils internes installés « pour l’équipe » finissent souvent exposés à Internet et oubliés dans les mises à jour. Un inventaire de ce qui est visible de l’extérieur, une gestion des serveurs rigoureuse et une surveillance automatisée 24/7 avec intervention du technicien de garde réduisent fortement ce risque. Voyez aussi nos services de cybersécurité.
Réservez votre Bilan cyber gratuit
Vous ne savez pas quels serveurs de votre PME sont visibles sur Internet ? Notre Bilan cyber gratuit repère les services exposés et les logiciels non corrigés, et vous remet un plan clair, sans jargon.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- JetBrains — Critical Security Issue Affecting TeamCity On-Premises (CVE-2026-63077) (en anglais)
- JetBrains — CVE-2026-63077: Additional Guidance Following Reports of Active Exploitation (en anglais)
- JetBrains — Security Incident Affecting JetBrains Cadence (en anglais)
- NIST NVD — CVE-2026-63077 (en anglais)
- SOCtember — CISA Flags TeamCity Flaw CVE-2026-63077 as Used in Ransomware Campaigns (en anglais)
- The Hacker News — Attackers Breached JetBrains Cadence via Unpatched TeamCity (en anglais)
Photo : Jakub Zerdzicki, Pexels (licence Pexels).
One thought on “Faille TeamCity CVE-2026-63077 : la chaîne d’attaque qui mène au rançongiciel”