آژانس امنیت سایبری و زیرساخت ایالات متحده (CISA) هشدار داد که گروه‌های باج‌افزاری اکنون از یک آسیب‌پذیری بحرانی در نرم‌افزار JetBrains TeamCity استفاده می‌کنند؛ این نقص امنیتی پیش‌تر در ماه جولای اصلاح شده بود.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-63077 ردیابی می‌شود، یک آسیب‌پذیری بحرانی در بخش احراز هویت (Authentication Bypass) است. این نقص به مهاجمانی که دسترسی HTTP(S) دارند اجازه می‌دهد تا دستورات دلخواه سیستم‌عامل (Arbitrary OS Commands) را اجرا کنند.
- روش حمله: یک مهاجم بدون نیاز به احراز هویت می‌تواند از طریق پروتکل polling در TeamCity agent، بررسی‌های امنیتی را دور زده و دستورات را با سطح دسترسی پردازش سرور TeamCity اجرا کند.
- پیامدهای احتمالی: بسته به سطح دسترسی سرور، این حمله می‌تواند منجر به افشای داده‌ها، تنظیمات و اعتبارنامه‌های ذخیره‌شده (Credentials)، تغییر وضعیت سرور و به مخاطره افتادن یکپارچگی مصنوعات ساخت (Build Artifacts) و خطوط لوله CI/CD شود.
وضعیت بهره‌برداری در دنیای واقعی
شرکت JetBrains در تاریخ ۷ آگوست تایید کرد که این نقص در محیط واقعی مورد بهره‌برداری قرار گرفته است. همچنین CISA این مورد را به فهرست آسیب‌پذیری‌های شناخته‌شده مورد بهره‌برداری (KEV) اضافه کرد و هشدار داد که گروه‌های باج‌افزاری به‌طور فعال در حال سوءاستفاده از آن هستند.
گزارش‌های Shadowserver نشان می‌دهد که تعداد سرورهای TeamCity آسیب‌پذیر و در معرض اینترنت از ۷۰۰ مورد در زمان انتشار وصله، به حدود ۱۶۰ مورد کاهش یافته است. با این حال، با توجه به اینکه گروه‌های APT و باندهای باج‌افزاری سابقه طولانی در هدف قرار دادن پلتفرم‌های CI/CD دارند، مدیران IT باید فوراً سرورهای خود را به‌روزرسانی کنند.
توصیه‌های امنیتی
کاربرانی که قادر به به‌روزرسانی فوری سرورهای خود به نسخه‌های 2025.11.7 و 2026.1.3 نیستند، باید دسترسی به سرور را تنها به شبکه‌های مورد اعتماد محدود کنند تا سطح حمله (Attack Surface) کاهش یابد.
