Un servidor de CI/CD casi nunca es lo primero que viene a la mente como superficie de ataque expuesta, pero ahí están las llaves de todo: credencial de despliegue, token de repositorio privado, la clave que firma un artefacto antes de que llegue a producción. Fue exactamente ese tipo de sistema el que JetBrains corrigió el 27 de julio de 2026, con una falla crítica en TeamCity On-Premises que permite ejecución remota de código sin ninguna autenticación.
La falla: CVE-2026-63077
La National Vulnerability Database confirma un CVSS 3.1 de 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), clasificada como CWE-502, deserialización de datos no confiables. El vector es el protocolo de polling de agente de TeamCity: un atacante remoto, sin credencial alguna y con solo acceso HTTP(S) al servidor, logra eludir la verificación de autenticación y ejecutar comandos arbitrarios del sistema operativo con el mismo privilegio que el proceso del servidor TeamCity. La falla afecta toda versión On-Premises anterior a la 2025.11.7 y la línea 2026.1 hasta la 2026.1.2. La corrección está en las versiones 2025.11.7 y 2026.1.3. Quien usa TeamCity Cloud no necesita actuar, la mitigación ya estaba aplicada del lado del proveedor.
Por qué un RCE en un servidor de build pesa más que un RCE común
Un servidor de CI/CD concentra justo el tipo de acceso que cualquier atacante quiere: credencial de despliegue a producción, token de repositorio privado, clave de firma de artefactos, variables de entorno con secretos de otros sistemas conectados. Comprometer el proceso de TeamCity no es solo ejecutar un comando aislado, es heredar todo ese acceso. En la práctica, controlar el servidor de build abre camino para alterar un pipeline, inyectar código en un artefacto antes de que se publique, o usar las propias credenciales del CI/CD para pivotar hacia otros sistemas. Es el mismo patrón de riesgo detrás de los mayores incidentes de supply chain de software de los últimos años.
Explotación confirmada en agosto
En el aviso original, JetBrains registró que no había evidencia de explotación activa hasta la publicación. Eso cambió rápido: el 5 de agosto de 2026 CISA incluyó la CVE-2026-63077 en su catálogo Known Exploited Vulnerabilities, confirmando explotación en servidores desactualizados, con plazo de mitigación hasta el 8 de agosto para las agencias federales de EE. UU. Dos días después, el 7 de agosto, JetBrains publicó orientación adicional reforzando la urgencia del parche para quien todavía no había actualizado.
Qué hacer ahora
- Actualizar a TeamCity 2025.11.7 o 2026.1.3, las versiones corregidas
- Si la actualización completa no es viable de inmediato, aplicar el plugin de parche de seguridad de JetBrains, disponible desde la versión 2017.1
- Restringir el acceso de red al servidor TeamCity y al endpoint de polling de agente solo a orígenes confiables, nunca expuesto libremente en internet
- Rotar toda credencial, token o secreto almacenado en TeamCity si hay algún indicio de exposición del servidor antes del parche
- Revisar los logs de build recientes en busca de pipelines alterados o artefactos publicados fuera del patrón esperado
- Incluir el servidor de CI/CD en el alcance del próximo pentest, con el mismo peso que se le da a un sistema de producción
Qué cambia esto para quien evalúa contratar un pentest
El CI/CD dejó de ser infraestructura de trasfondo que solo ve el equipo de plataforma. Es superficie de ataque con acceso directo a producción, y un RCE no autenticado ahí vale, en la práctica, tanto como un RCE en un sistema de cara al público. Si el servidor de build de la empresa nunca entró en el alcance de una prueba de seguridad, esa es la brecha que más vale cerrar primero.