Protección urgente para las cadenas de suministro de software
JetBrains ha lanzado parches de seguridad críticos para abordar una vulnerabilidad de severidad máxima en TeamCity On-Premises. El fallo, identificado como CVE-2026-63077, ha recibido una puntuación CVSS de 9.8, lo que lo sitúa en la categoría de riesgo extremo para las organizaciones que utilizan esta plataforma de integración y despliegue continuo (CI/CD).
¿En qué consiste el riesgo técnico?
La vulnerabilidad permite a un atacante no autenticado eludir los controles de seguridad y lograr la ejecución remota de código (RCE) a través del protocolo de sondeo de agentes (agent polling protocol) mediante solicitudes HTTP/S. En términos empresariales, esto significa que un actor malintencionado podría tomar el control del servidor de TeamCity sin necesidad de poseer credenciales de acceso.
Al explotar este defecto, el atacante podría ejecutar comandos arbitrarios en el sistema operativo con los mismos privilegios que el proceso del servidor TeamCity. Esto abre la puerta a:
- Acceso no autorizado a datos confidenciales y configuraciones.
- Robo de credenciales almacenadas en la plataforma.
- Manipulación de artefactos de software y compromiso de la integridad de la cadena de suministro (CI/CD).
Versiones afectadas y soluciones disponibles
Según el comunicado oficial de JetBrains, el fallo afecta a todas las versiones de TeamCity On-Premises. Aunque las instancias de TeamCity Cloud ya han sido mitigadas y no hay evidencia de que la vulnerabilidad esté siendo explotada activamente, la recomendación es actualizar de forma inmediata.
Las soluciones implementadas son:
- Actualización de versión: Se han introducido correcciones en las versiones 2025.11.7 y 2026.1.3.
- Parche de seguridad (Plugin): Para organizaciones que no puedan actualizar la versión completa de inmediato, JetBrains ha lanzado un plugin de parche de seguridad compatible con las versiones 2017.1 en adelante.
Recomendaciones estratégicas de ciberseguridad
Desde la perspectiva de la gestión de riesgos, Intedya recomienda a las empresas no solo aplicar el parche, sino también reforzar la arquitectura de seguridad de sus entornos de desarrollo:
- Aislamiento de red: Limitar el acceso a los servidores de TeamCity expuestos a Internet, priorizando el uso de conexiones VPN.
- Principio de privilegio mínimo: Ejecutar los servicios del servidor con los permisos mínimos necesarios en el sistema operativo.
- Segmentación: Mantener los servidores de TeamCity en hosts dedicados y separados de los agentes de construcción (build agents).
La seguridad en el ciclo de vida de desarrollo de software es hoy un pilar fundamental para la continuidad de negocio. La rápida respuesta ante este tipo de vulnerabilidades es crítica para evitar ataques de cadena de suministro que podrían afectar no solo a su empresa, sino también a sus clientes finales.
Fuentes
- SecurityWeek — Critical Code Execution Vulnerability Patched in TeamCity
https://www.securityweek.com/critical-code-execution-vulnerability-patched-in-teamcity/