CISA : des groupes de rançongiciel exploitent désormais la faille critique de JetBrains TeamCity
La CISA américaine a mis à jour son catalogue des failles exploitées pour indiquer que CVE-2026-63077, une faille critique de JetBrains TeamCity corrigée le 25 juillet, est désormais utilisée par des groupes de rançongiciel. Les serveurs TeamCity non corrigés exposés sur Internet restent la cible.
Pour les pros
Pour les professionnels
Le contexte
CVE-2026-63077 est un contournement d’authentification critique dans TeamCity On-Premises : un attaquant non authentifié, via le protocole d’interrogation des agents, peut exécuter des commandes système avec les privilèges du processus du serveur. JetBrains a publié les correctifs le 25 juillet (versions 2025.11.7 et 2026.1.3). La CISA a inscrit la faille à son catalogue KEV le 5 août ; elle la signale maintenant comme utilisée par des groupes de rançongiciel, sans détailler les attaques.
Ce qui s'est passé, jour après jour
JetBrains corrige CVE-2026-63077 dans TeamCity On-Premises 2025.11.7 et 2026.1.3.
La CISA ajoute CVE-2026-63077 à son catalogue des vulnérabilités exploitées et ordonne aux agences fédérales américaines de se protéger sous trois jours.
JetBrains confirme une exploitation dans la nature, publie des indicateurs de compromission et recommande de limiter l’accès aux réseaux de confiance si le correctif ne peut être appliqué.
La CISA met à jour son catalogue : la faille est signalée comme exploitée par des groupes de rançongiciel.
Qui est concerné
- CISA
- JetBrains
- Shadowserver
À faire, dans l'ordre
Mettre à jour TeamCity On-Premises vers 2025.11.7, 2026.1.3 ou une version plus récente sans attendre.
Si la mise à jour est impossible, restreindre l’accès au serveur à des réseaux de confiance et le retirer d’Internet.
Rechercher une compromission avec les indicateurs publiés par JetBrains, notamment dans les journaux du serveur depuis début août.
Considérer comme exposés les secrets stockés dans TeamCity (jetons, clés, mots de passe) et les renouveler si un doute existe.
Contrôler l’intégrité des artefacts construits et des pipelines en aval.
En clair
Pour tout le monde
TeamCity est un outil qui assemble et teste automatiquement les logiciels d’une équipe de développement. Une faille grave y a été corrigée en juillet, mais des groupes qui chiffrent les données pour réclamer une rançon l’exploitent désormais, selon l’agence américaine CISA. Si votre entreprise ou votre prestataire utilise TeamCity sur ses propres serveurs, vérifiez que la mise à jour est faite et que le serveur n’est pas visible depuis Internet.
Ce que ça change dans le Pacifique
Nouvelle-Calédonie, Polynésie française, Wallis-et-Futuna
Aucun lien avec le Pacifique n’est établi à ce jour : la source ne cite aucun territoire. Les équipes de développement et prestataires de Nouvelle-Calédonie, de Polynésie française ou de Wallis-et-Futuna qui exploitent un TeamCity sur leurs propres serveurs devraient vérifier la version installée et chercher des traces de compromission de leurs serveurs de construction et de leurs secrets.
Réseau de sources
Qui a relevé l’alerte, et quelles autorités la documentent.
- BleepingComputer, CISA: Ransomware gangs now exploiting critical TeamCity flaw
Sources (1)
- Relevé parRelevéBleepingComputer, CISA: Ransomware gangs now exploiting critical TeamCity flaw (site externe, nouvel onglet)bleepingcomputer.com