Il 27 luglio 2026 JetBrains ha pubblicato un avviso di sicurezza che, in poche righe tecniche, descrive uno degli scenari peggiori per chi gestisce infrastrutture di sviluppo software: un aggressore senza credenziali può eseguire comandi arbitrari su un server TeamCity semplicemente raggiungendolo via HTTP o HTTPS. La falla, identificata come CVE-2026-63077, ha ricevuto un punteggio CVSS 9.8 su 10, il livello massimo di gravità per una vulnerabilità di questo tipo. Nove giorni dopo la CISA statunitense l’ha inserita nel catalogo Known Exploited Vulnerabilities, confermando che lo sfruttamento attivo era già in corso. Per un settore che ha visto la stessa piattaforma finire nel mirino di gruppi ransomware già nel 2024, la notizia arriva come un déjà vu poco rassicurante.
Cos’è la CVE-2026-63077 e perché fa paura
TeamCity è il server di continuous integration e continuous delivery sviluppato da JetBrains, usato da team di sviluppo per compilare, testare e distribuire codice in automatico. La CVE-2026-63077 nasce da un problema di deserializzazione di dati non attendibili (categoria CWE-502) nel cosiddetto “agent polling protocol”, il canale che i build agent usano per comunicare con il server centrale. Quel canale, pensato per dialogare solo con agenti fidati, accetta invece pacchetti creati ad arte da chiunque abbia accesso di rete al server, senza bisogno di login.
Il risultato è l’esecuzione di comandi del sistema operativo con gli stessi privilegi del processo TeamCity, che su molte installazioni coincide con l’accesso completo alla macchina. Colpisce le versioni on-premises precedenti alla 2025.11.7 e il ramo 2026.1 fino alla 2026.1.2 compresa. TeamCity Cloud, la versione ospitata da JetBrains, non risulta interessata perché l’azienda ha applicato la correzione centralmente sui propri server prima della divulgazione pubblica.
A scoprire e segnalare privatamente il problema è stato il ricercatore di sicurezza Antoni Tremblay, secondo quanto riportato da Help Net Security nel suo articolo del 28 luglio 2026. JetBrains ha reagito rilasciando le versioni corrette 2025.11.7 e 2026.1.3, oltre a un plugin di patch di sicurezza per chi usa versioni più vecchie a partire dalla 2017.1, con l’avvertenza che le installazioni comprese tra 2017.1 e 2018.1 richiedono un riavvio del server per applicare la mitigazione.
La scheda tecnica della vulnerabilità
Prima di entrare nell’analisi degli effetti sul mercato e sulla catena di fornitura del software, ecco i dati essenziali raccolti dagli avvisi ufficiali e dalle analisi di più vendor di sicurezza.
| Voce | Dettaglio |
|---|---|
| Identificativo | CVE-2026-63077 |
| Punteggio CVSS v3.1 | 9.8 (Critico) – vettore AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Categoria debolezza | CWE-502, deserializzazione di dati non attendibili |
| Prodotto colpito | JetBrains TeamCity On-Premises |
| Versioni vulnerabili | Prima della 2025.11.7; ramo 2026.1 fino alla 2026.1.2 |
| Versioni corrette | 2025.11.7 e 2026.1.3 |
| Mitigazione temporanea | Plugin di sicurezza per TeamCity 2017.1 e successivi |
| TeamCity Cloud | Non vulnerabile, corretto centralmente da JetBrains |
| Autenticazione richiesta | Nessuna |
| Interazione utente richiesta | Nessuna |
| Stato CISA KEV | Inserito il 5 agosto 2026, scadenza federale 8 agosto 2026 |
Il vettore CVSS racconta da solo la gravità del problema: accesso via rete (AV:N), complessità di attacco bassa (AC:L), nessun privilegio richiesto (PR:N), nessuna interazione dell’utente (UI:N) e impatto massimo su riservatezza, integrità e disponibilità. È la combinazione da manuale di ciò che i team di sicurezza chiamano “worst case scenario” per un server esposto a internet.
La cronologia: dalla scoperta privata alla lista CISA
La sequenza degli eventi è utile per capire quanto poco tempo intercorre oggi tra la scoperta di una falla critica e il suo sfruttamento su larga scala. Rapid7, che ha pubblicato una propria analisi tecnica il 7 agosto 2026, conferma che JetBrains ha reso pubblico l’avviso il 27 luglio, lo stesso giorno in cui le versioni corrette sono diventate disponibili.
| Data | Evento |
|---|---|
| Inizio-metà luglio 2026 | Scoperta e divulgazione privata a JetBrains da parte di Antoni Tremblay |
| 27 luglio 2026 | JetBrains pubblica l’avviso ufficiale e rilascia le versioni corrette 2025.11.7 e 2026.1.3 |
| 28 luglio 2026 | Help Net Security e altri portali specializzati diffondono la notizia |
| Fine luglio-inizio agosto 2026 | Prime scansioni di massa e tentativi di sfruttamento opportunistico contro server esposti, secondo l’analisi di Xhack.io |
| 1 agosto 2026 | Newsletter di settore come SecurityIntel classificano la falla come priorità P1 per i team CI/CD |
| 5 agosto 2026 | CISA aggiunge la CVE-2026-63077 al catalogo Known Exploited Vulnerabilities |
| 8 agosto 2026 | Scadenza per la correzione obbligatoria imposta alle agenzie federali statunitensi (tre giorni dalla notifica) |
Tra la pubblicazione dell’avviso e le prime scansioni ostili sono passati pochi giorni, non settimane. È un ritmo che ormai caratterizza quasi ogni vulnerabilità critica resa pubblica: gli aggressori automatizzano la ricerca di target esposti quasi in tempo reale, un tema che Rapid7 e SentinelOne hanno più volte segnalato nei propri report trimestrali sulle minacce.
Chi è davvero a rischio: il ruolo centrale di TeamCity nella pipeline
Nessuna fonte consultata fornisce un conteggio ufficiale e verificato di quante istanze TeamCity siano esposte pubblicamente su internet a livello globale o europeo. Le analisi di settore, comprese quelle di SecureLayer7 e Xhack.io, parlano genericamente di scansioni di tipo Shodan che individuano centinaia di server TeamCity raggiungibili via HTTP/HTTPS in più regioni del mondo, Europa inclusa, senza però pubblicare cifre precise scomposte per paese. Qualunque numero specifico circolato su altri canali non trova conferma diretta nelle fonti primarie disponibili a inizio settembre 2026.
Quello che è certo è il ruolo che TeamCity gioca nell’infrastruttura di sviluppo di chi lo adotta. Un server di continuous integration non è un’applicazione qualunque: gestisce credenziali per i repository di codice sorgente, token per i registri di pacchetti, chiavi per il deployment su cloud e, in molti casi, le chiavi di firma digitale usate per certificare i binari distribuiti ai clienti finali. Chi ottiene l’esecuzione di comandi su quel server può, in teoria, modificare gli step di build, inserire codice malevolo in un artefatto altrimenti considerato affidabile, o muoversi lateralmente verso gli ambienti di sviluppo, staging e produzione collegati.
È lo stesso principio alla base degli attacchi alla catena di fornitura software più devastanti degli ultimi anni: non serve colpire il prodotto finale, basta colpire lo strumento che lo costruisce. Per questo motivo diversi analisti hanno equiparato il rischio della CVE-2026-63077 a quello degli incidenti storici legati a SolarWinds o a Codecov, pur trattandosi di una dinamica tecnica differente.
Déjà vu: il parallelo con la crisi TeamCity del 2024
Non è la prima volta che TeamCity finisce al centro di una crisi di sicurezza di questa portata. Nel marzo 2024 Rapid7 aveva scoperto due vulnerabilità distinte, CVE-2024-27198 (bypass di autenticazione, CVSS 9.8) e CVE-2024-27199 (path traversal relativo, CVSS 7.3), entrambe corrette da JetBrains nella versione 2023.11.4. Secondo report di Trend Micro e altre fonti di threat intelligence, quelle falle sono state sfruttate attivamente dal gruppo ransomware Jasmin e, in almeno un’intrusione documentata, dal collettivo BianLian, che avrebbe usato la CVE-2024-27198 insieme alla precedente CVE-2023-42793 per ottenere accesso iniziale, creare utenti e lanciare comandi malevoli sotto l’account di servizio di TeamCity.
Un’analisi di vendor citata all’epoca stimava che fino all’84% delle istanze vulnerabili raggiungibili pubblicamente fosse stato compromesso almeno una volta, con un punteggio di probabilità di sfruttamento (EPSS) nel 97° percentile. Il parallelo con oggi è netto: stesso prodotto, stessa classe di gravità CVSS, stesso schema di sfruttamento rapido dopo la divulgazione. Cambia il meccanismo tecnico specifico, dal bypass di autenticazione del 2024 alla deserializzazione non sicura del 2026, ma la lezione che se ne ricava è identica: i server CI/CD restano bersagli ad altissimo valore, e le organizzazioni che li lasciano esposti a internet senza segmentazione di rete pagano un prezzo ricorrente.
La superficie d’attacco CI/CD: perché i build server piacciono tanto ai criminali
Il 2025 ha confermato una tendenza che gli analisti descrivono ormai come strutturale, non episodica. Secondo il report annuale di Sonatype sullo stato della catena di fornitura software, nel 2025 sono stati individuati oltre 454.600 nuovi pacchetti open source malevoli, un salto del 75% rispetto all’anno precedente, portando il totale cumulativo di pacchetti dannosi bloccati oltre 1,233 milioni tra ecosistemi come npm, PyPI, Maven Central, NuGet e Hugging Face. Nel solo secondo trimestre 2025, Sonatype ha bloccato oltre 5,35 milioni di tentativi di attacco tramite il proprio Repository Firewall, con l’89% dei tentativi indirizzato verso organizzazioni del settore finanziario.
Sul fronte degli incidenti più ampi, l’Identity Theft Resource Center ha calcolato che le entità colpite da attacchi alla catena di fornitura sono quasi raddoppiate, passando da 660 nel 2024 a 1.251 nel 2025, con 133 violazioni di terze parti che hanno generato oltre 98,7 milioni di notifiche alle vittime. In questo contesto, gli analisti indicano la compromissione delle pipeline di build come la categoria in crescita più rapida tra le famiglie di attacco alla catena di fornitura, proprio perché un singolo server CI/CD violato può propagare codice malevolo a decine o centinaia di prodotti a valle in un colpo solo.
Impatto di mercato: una falla critica in un settore in piena espansione
La CVE-2026-63077 arriva in un momento in cui il mercato degli strumenti CI/CD continua a crescere a ritmo sostenuto. Le stime variano a seconda della definizione usata dalle diverse società di analisi: Mordor Intelligence colloca il mercato globale degli strumenti CI/CD e di pipeline automation a 11,85 miliardi di dollari nel 2026, in crescita dai 10,38 miliardi del 2025, con un tasso annuo composto del 14,12% previsto fino al 2031. Persistence Market Research stima invece il segmento a 13,2 miliardi di dollari nel 2026, mentre Market Research Future indica una base più ristretta di 9,4 miliardi nel 2025. Al di là delle differenze metodologiche, il quadro è coerente: un mercato multimiliardario, in doppia cifra di crescita annua, che vede ogni componente della propria infrastruttura software diventare un bersaglio più attraente per chi cerca un punto di ingresso ad alto impatto.
Per JetBrains, che nel segmento enterprise compete con attori molto più grandi in termini di quota di mercato, l’episodio rappresenta un banco di prova sulla gestione della fiducia dei clienti. La reattività mostrata, correzione disponibile lo stesso giorno dell’avviso e plugin retroattivo per versioni fino alla 2017.1, va nella direzione richiesta da un mercato enterprise sempre più attento ai tempi di risposta ai bug critici, ma non cancella il fatto che due crisi di sicurezza gravi in appena due anni sullo stesso prodotto pesano sulla percezione di affidabilità presso i responsabili IT più prudenti.
Confronto competitivo: TeamCity contro Jenkins, GitHub Actions e GitLab CI
Per capire la reale esposizione del mercato serve guardare alle quote di adozione dei principali strumenti CI/CD. I dati più recenti arrivano dal sondaggio “The State of CI/CD in 2025” condotto da JetBrains stessa insieme al proprio team di ricerca, integrato da un successivo articolo del 2026 basato su dati aggregati.
| Strumento | Adozione organizzativa (dati JetBrains 2026) | Modello di hosting | Storico CVE critiche rilevanti |
|---|---|---|---|
| GitHub Actions | 33% | Cloud (integrato in GitHub) | Nessuna RCE critica paragonabile riportata nel periodo 2024-2026 |
| Jenkins | 28% | Prevalentemente self-hosted | Storico di plugin vulnerabili, gestione decentralizzata degli aggiornamenti |
| GitLab CI/CD | 19% | Cloud o self-hosted | Vulnerabilità di severità variabile gestite tramite cicli di rilascio regolari |
| JetBrains TeamCity | 7% (dato sondaggio JetBrains 2025) | On-Premises o Cloud | CVE-2024-27198/27199 (2024) e CVE-2026-63077 (2026), entrambe CVSS 9.8 |
Il quadro che emerge non va letto come “TeamCity è meno sicuro perché ha meno utenti”: la quota di adozione più bassa (7% secondo il sondaggio JetBrains 2025, contro il 62% di preferenza per GitHub Actions nei soli progetti personali) significa semplicemente una base installata diversa. Va però notato che TeamCity ha ora accumulato due episodi di vulnerabilità critica con impatto pre-autenticazione in appena ventotto mesi, un dato che i responsabili di sicurezza delle aziende che lo usano in produzione devono considerare nella propria valutazione del rischio, indipendentemente dalla quota di mercato relativa.
Le reazioni dei vendor di sicurezza
Diversi vendor di sicurezza hanno pubblicato analisi tecniche della falla nelle settimane successive alla divulgazione, condividendo sostanzialmente la stessa valutazione di gravità. JetBrains, nel proprio avviso ufficiale, ha spiegato che “CVE-2026-63077 can be exploited without authentication” (JetBrains, avviso ufficiale), aggiungendo che “An unauthenticated attacker with HTTP(S) access to a vulnerable TeamCity server could exploit the vulnerability via the TeamCity agent polling protocol to execute arbitrary operating system commands with the privileges of the TeamCity server process” (JetBrains, avviso ufficiale).
Rapid7, nella propria analisi tecnica pubblicata l’8 agosto, ha descritto il meccanismo di attacco in termini quasi identici: “An attacker who can reach a TeamCity server over HTTP or HTTPS can exploit the agent polling protocol without credentials and execute operating system commands with the privileges of the TeamCity server process” (Rapid7). SentinelOne, nella propria voce del database delle vulnerabilità, ha riassunto il problema affermando che “CVE-2026-63077 is a remote code execution vulnerability in JetBrains TeamCity that allows unauthenticated attackers to execute arbitrary code via the agent polling protocol” (SentinelOne).
Anche la CISA, nella comunicazione ripresa dalla stampa specializzata, ha inquadrato il problema nello stesso modo tecnico: “JetBrains TeamCity contains a deserialization of untrusted data vulnerability that could allow unauthenticated remote code execution via the agent polling protocol” (citato da The Hacker News). La convergenza di linguaggio tra vendor indipendenti e agenzia federale statunitense è un segnale che la comunità di sicurezza considera il rischio reale e non un caso isolato di allarmismo mediatico.
La situazione in Europa: nessuna vittima confermata, ma esposizione diffusa
Al momento della stesura di questo articolo, nessuna fonte pubblica consultata nomina in modo esplicito aziende o enti governativi europei come vittime confermate di uno sfruttamento della CVE-2026-63077. Diverse analisi, tra cui quella di Tech Insider, segnalano genericamente che l’adozione di TeamCity tra software house e realtà cloud-native europee è consistente e che le campagne di scansione automatizzata osservate a fine luglio e inizio agosto hanno incluso target sia in Nord America sia in Europa, senza però fornire un elenco di organizzazioni colpite.
Questa assenza di attribuzione pubblica non va letta come assenza di rischio. Le aziende raramente confermano una compromissione nelle prime settimane successive alla scoperta, soprattutto quando l’incidente riguarda infrastrutture interne di sviluppo piuttosto che dati di clienti finali soggetti a obblighi di notifica come il GDPR. Chi gestisce team di sviluppo con server TeamCity esposti a internet dovrebbe considerare la finestra tra fine luglio e i primi giorni di settembre come periodo a rischio elevato, indipendentemente dalla comparsa o meno di notizie di violazioni specifiche.
Cosa devono fare subito i team di sicurezza
Le raccomandazioni operative convergenti tra JetBrains, Rapid7 e SecureLayer7 si possono riassumere in pochi passaggi concreti e prioritari.
- Aggiornare immediatamente ogni istanza TeamCity On-Premises alla versione 2025.11.7 o 2026.1.3, le uniche corrette in modo definitivo.
- Per chi non può aggiornare subito, installare il plugin di patch di sicurezza disponibile per TeamCity 2017.1 e versioni successive, ricordando che le installazioni tra 2017.1 e 2018.1 richiedono un riavvio del server.
- Rimuovere l’esposizione diretta a internet del server TeamCity dove possibile, collocandolo dietro VPN o rete privata riservata al solo traffico degli agenti di build.
- Ruotare le credenziali e i token memorizzati nel server, comprese le chiavi verso repository Git, registri di pacchetti e ambienti cloud, nel caso in cui il server sia stato esposto durante la finestra di vulnerabilità.
- Verificare i log del server per attività anomale sull’agent polling protocol nel periodo tra fine luglio e inizio agosto 2026, cercando pattern di richieste non riconducibili ad agenti legittimi.
- Integrare la telemetria di TeamCity nei playbook di incident response, in modo che una futura anomalia sul server di build attivi lo stesso livello di allerta riservato ai sistemi di produzione.
Previsioni: cosa aspettarsi nei prossimi mesi
Sulla base della cronologia degli eventi e dei precedenti del 2024, si possono delineare alcuni scenari plausibili per l’autunno 2026.
- È probabile che nelle prossime settimane emergano i primi report pubblici di incidenti specifici collegati alla CVE-2026-63077, sul modello di quanto accaduto con BianLian e Jasmin dopo le CVE del 2024, una volta che i team di risposta agli incidenti completeranno le indagini forensi in corso.
- È ragionevole attendersi che gruppi ransomware già attivi su vettori di accesso iniziale via CI/CD aggiungano questa CVE al proprio arsenale di exploit precompilati, replicando lo schema già visto con le vulnerabilità TeamCity del 2024.
- Cresce la probabilità che regolatori europei, in particolare nel contesto dell’attuazione della direttiva NIS2, comincino a citare esplicitamente la sicurezza delle pipeline CI/CD come area di controllo per le aziende classificate come soggetti essenziali o importanti.
- È atteso un aumento della domanda di soluzioni di segmentazione di rete e di gestione dei segreti dedicate agli ambienti di build, con vendor di sicurezza cloud che probabilmente lanceranno moduli specifici per il monitoraggio dei server CI/CD nei prossimi trimestri.
- È plausibile che JetBrains rafforzi ulteriormente il proprio processo di divulgazione responsabile e i tempi di rilascio delle patch, dato il secondo episodio critico in due anni, per contenere l’impatto reputazionale presso i clienti enterprise più esigenti.
Perché la deserializzazione resta un problema irrisolto
Vale la pena soffermarsi sulla natura tecnica specifica di questo bug, perché non è un caso isolato. La deserializzazione di dati non attendibili, classificata come CWE-502, è una delle categorie di vulnerabilità più insidiose nel software moderno: un’applicazione riceve un pacchetto di dati serializzati da una fonte esterna e li converte in oggetti di programma senza verificarne a fondo il contenuto o l’origine. Se l’applicazione non applica controlli rigorosi, un aggressore può costruire un pacchetto malevolo che, una volta deserializzato, esegue codice arbitrario invece di limitarsi a rappresentare dati innocui.
Questa classe di vulnerabilità ha una storia lunga nell’ecosistema Java, il linguaggio su cui è costruito TeamCity, e ha già causato incidenti gravi in altri prodotti enterprise nel corso degli ultimi dieci anni. Il fatto che nel 2026 continui a comparire in un prodotto maturo come TeamCity conferma quanto sia difficile eliminare completamente questa categoria di bug da basi di codice complesse e stratificate nel tempo, anche quando il vendor investe in programmi di sicurezza strutturati.
Il contesto più ampio: un anno difficile per la sicurezza degli strumenti di sviluppo
La CVE-2026-63077 non arriva isolata. Nel corso del 2026 diversi altri strumenti al centro dello sviluppo software e della gestione delle infrastrutture sono finiti sotto i riflettori per vulnerabilità critiche di severità paragonabile, dai gateway VPN ai pannelli di gestione cloud, fino ai registri di pacchetti open source colpiti da campagne di supply chain su larga scala nel corso dell’anno. Il filo conduttore è sempre lo stesso: gli aggressori hanno imparato che colpire uno strumento usato da migliaia di sviluppatori contemporaneamente offre un ritorno sull’investimento molto più alto rispetto a colpire un singolo bersaglio finale.
Per le aziende italiane ed europee che si affidano a TeamCity per gestire le proprie pipeline, l’episodio è anche un promemoria pratico sull’importanza di trattare i server CI/CD con lo stesso rigore riservato ai sistemi di produzione: patch tempestive, segmentazione di rete, rotazione periodica delle credenziali e monitoraggio attivo dei log non sono più opzionali per chi costruisce software in un contesto dove ogni componente della toolchain è un potenziale punto di ingresso.
Domande frequenti
Cos’è esattamente la CVE-2026-63077?
È una vulnerabilità critica (CVSS 9.8) in JetBrains TeamCity On-Premises che permette a un aggressore non autenticato di eseguire comandi arbitrari sul server tramite l’agent polling protocol, sfruttando un difetto di deserializzazione di dati non attendibili.
Quali versioni di TeamCity sono vulnerabili?
Tutte le versioni On-Premises precedenti alla 2025.11.7 e il ramo 2026.1 fino alla versione 2026.1.2 inclusa. Le versioni 2025.11.7 e 2026.1.3 contengono la correzione definitiva.
TeamCity Cloud è a rischio?
No. JetBrains ha applicato la correzione centralmente sui server di TeamCity Cloud prima della divulgazione pubblica, quindi i clienti della versione ospitata non devono intervenire.
Come posso proteggere un’installazione che non riesco ad aggiornare subito?
JetBrains fornisce un plugin di patch di sicurezza per le versioni a partire dalla 2017.1. Le installazioni tra 2017.1 e 2018.1 richiedono un riavvio del server dopo l’installazione del plugin.
La vulnerabilità è già sfruttata attivamente?
Sì. CISA l’ha inserita nel catalogo Known Exploited Vulnerabilities il 5 agosto 2026 e diverse fonti di threat intelligence segnalano scansioni di massa e tentativi di sfruttamento opportunistico già a partire da fine luglio.
Ci sono aziende europee confermate come vittime?
Al momento nessuna fonte pubblica consultata nomina esplicitamente aziende o enti governativi europei colpiti. Le analisi disponibili segnalano solo che le campagne di scansione hanno incluso target anche in Europa, senza attribuzioni specifiche.
È collegata alle vulnerabilità TeamCity del 2024?
Non tecnicamente: le CVE del 2024 (CVE-2024-27198 e CVE-2024-27199) sfruttavano un bypass di autenticazione e un path traversal, mentre la CVE-2026-63077 sfrutta una deserializzazione non sicura. Il parallelo riguarda piuttosto la gravità comparabile e la rapidità con cui entrambe sono state sfruttate da attori ostili dopo la divulgazione.
Cosa rischia un’azienda che non applica la patch?
Un aggressore può ottenere il controllo completo del server TeamCity, con accesso a credenziali di repository, token dei registri di pacchetti, chiavi cloud e potenzialmente chiavi di firma, aprendo la strada a manipolazione delle build, furto di segreti e movimento laterale verso ambienti di produzione.
