Aller au contenu

Nouméa

Veille active

Le défilement s’arrête au survol ou au focus.

Sujets5Critiques4Exploitées KEV5KEVLangflow exposé à une vulnérabilité critique d'injection de codeKEVUne vulnérabilité critique menace SharePoint et nécessite une mise à jour urgenteKEVUne faille critique touche VeloCloud Orchestrator et nécessite une mise à jourKEVFaille critique d'injection de commandes dans Collabora Online Built-in CODE ServerCERT-FR[Màj] Multiples vulnérabilités dans PHP (21 octobre 2026)CERT-FRVulnérabilité dans Ivanti Connect Secure (ICS) (14 octobre 2026)CERT-FRIncident de sécurité ciblant les contrôleurs à distance des installations de réfrigération (12 octobre 2026)Flux CERT-FRsynchronisé 25 octobre 2026, 15 h 36Flux CISA KEVsynchronisé 25 octobre 2026, 15 h 36Flux EPSSsynchronisé 25 octobre 2026, 15 h 36

FailleCritiqueKEVExploitéeCVSS9,8EPSS89,6 %

TeamCity vulnérable à une faille de désérialisation critique (CVE-2026-63077)

Une vulnérabilité de désérialisation (CVE-2026-63077) affecte les serveurs TeamCity antérieurs à la version 2025.11.7 et ceux compris entre 2026.1 et 2026.1.3. Les administrateurs doivent appliquer les correctifs dès que possible pour éviter une compromission totale du système.

CyberBase, édition de l'aube du mercredi 4 sources

Illustration de « TeamCity vulnérable à une faille de désérialisation critique (CVE-2026-63077) » : le pictogramme de la rubrique Faille et le nom du sujet sur une image de fond assombrie

Pour les pros

Pour les professionnels

Exploitée, catalogue KEV

Correctif disponible, 2025.11.7, 2026.1.3

CVE-2026-63077

Nature
désérialisation non sécurisée pouvant conduire à l’exécution de code à distance
CVSS v3.1, gravité
CVSS9,8
Corrigé dans
  • 2025.11.7
  • 2026.1.3
Versions touchées
  • teamcity : < 2025.11.7
  • teamcity : >= 2026.1, < 2026.1.3
Vecteur CVSS v3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
EPSS (24/10)
EPSS89,6 % (99e centile)
Catalogue KEV
KEVExploitéeoui, ajoutée le 05/08
Fiches et avis
NVD pour CVE-2026-63077, cve.org pour CVE-2026-63077

Ce qu'on sait de l'exploitation

La vulnérabilité a été inscrite au catalogue KEV de la CISA le 5 août 2026, signalant un risque actif. Selon l’EPSS, la probabilité d’exploitation est de 89,57 % (centile 99,8), ce qui indique que les acteurs malveillants sont très susceptibles de l’utiliser rapidement.

À faire, dans l'ordre

  1. Identifier toutes les installations TeamCity et relever leur version actuelle.

  2. Vérifier si la version est antérieure à 2025.11.7 ou comprise entre 2026.1 (inclus) et 2026.1.3.

  3. Appliquer la mise à jour vers 2025.11.7 ou, si la version est 2026.1, mettre à jour vers 2026.1.3.

  4. Redémarrer le service TeamCity et confirmer que la version affichée correspond bien à la version corrigée.

  5. Surveiller les bulletins de sécurité pour d’éventuelles nouvelles recommandations.

En clair

Pour tout le monde

  1. TeamCity, l’outil d’intégration continue de JetBrains, comporte une faille de désérialisation (CVE-2026-63077) qui permet l’exécution de code sans authentification. Les versions antérieures à 2025.11.7 et celles entre 2026.1 (inclus) et 2026.1.3 sont concernées. Un attaquant peut ainsi prendre le contrôle complet du serveur. Vérifiez votre version, puis mettez-à-jour immédiatement vers 2025.11.7 ou, si vous êtes déjà en 2026.1, vers 2026.1.3 et redémarrez le service.

Réseau de sources

Qui a relevé l’alerte, et quelles autorités la documentent.

  • Fiches CVE
  • Exploitation confirmée
  • Scores EPSS

Sources (4)