JetBrains Peringatkan Kerentanan Kritis TeamCity yang Memungkinkan Remote Code Execution

JetBrains mengeluarkan peringatan mengenai kerentanan kritis pada TeamCity On-Premises yang dapat dimanfaatkan penyerang untuk melewati proses autentikasi dan menjalankan kode berbahaya dari jarak jauh (Remote Code Execution/RCE).

Kerentanan tersebut dilacak sebagai CVE-2026-63077 dan memengaruhi seluruh versi TeamCity On-Premises.

Sementara itu, pelanggan TeamCity Cloud dipastikan tidak terdampak karena JetBrains telah menerapkan langkah mitigasi pada layanan tersebut.

Memungkinkan Bypass Autentikasi

Menurut JetBrains, kerentanan berasal dari mekanisme agent polling protocol yang digunakan TeamCity.

Penyerang yang memiliki akses HTTPS ke server TeamCity dapat mengeksploitasi celah ini untuk melewati proses autentikasi, kemudian menjalankan perintah sistem operasi dengan hak akses yang dimiliki proses server TeamCity.

Karena berjalan menggunakan hak akses server, eksploitasi dapat memberikan dampak yang sangat serius terhadap lingkungan CI/CD perusahaan.

Berpotensi Mengompromikan Pipeline CI/CD

TeamCity merupakan platform Continuous Integration dan Continuous Delivery (CI/CD) yang banyak digunakan untuk membangun, menguji, serta mendistribusikan perangkat lunak secara otomatis.

Menurut Daniel Gallo, Solutions Engineering Lead di JetBrains, keberhasilan eksploitasi CVE-2026-63077 dapat menyebabkan:

• Akses terhadap data TeamCity.
• Kebocoran konfigurasi sistem.
• Pencurian kredensial yang tersimpan.
• Kompromi artefak hasil build.
• Pengambilalihan pipeline CI/CD.

Besarnya dampak bergantung pada hak akses yang dimiliki proses TeamCity di server.

Belum Ada Bukti Eksploitasi

Saat advisori keamanan diterbitkan pada 27 Juli 2026, JetBrains menyatakan belum menemukan bukti bahwa kerentanan tersebut telah dieksploitasi di dunia nyata.

Meski demikian, perusahaan mengingatkan bahwa TeamCity telah berulang kali menjadi target serangan pada masa lalu, termasuk oleh:

• Kelompok ransomware.
• Aktor ancaman yang didukung negara.

Karena itu, administrator diminta segera melakukan pembaruan tanpa menunggu adanya eksploitasi aktif.

Sudah Tersedia Perbaikan

JetBrains menjelaskan bahwa kerentanan ini dilaporkan secara pribadi pada 10 Juli 2026 dan telah diperbaiki pada:

• TeamCity 2025.11.7
• TeamCity 2026.1.3

Perusahaan merekomendasikan seluruh pengguna melakukan upgrade ke versi tersebut sebagai solusi utama.

Patch Tersedia dalam Bentuk Plugin

Bagi organisasi yang belum dapat melakukan upgrade, JetBrains juga menyediakan plugin patch keamanan untuk seluruh TeamCity versi 2017.1 dan yang lebih baru.

Pada TeamCity 2024.03 dan versi setelahnya, plugin keamanan akan diunduh secara otomatis dan administrator akan menerima pemberitahuan untuk memasangnya.

Sementara itu, pengguna TeamCity versi 2017.1 hingga 2018.1 perlu melakukan restart server setelah plugin dipasang agar pembaruan keamanan dapat diterapkan.

Rekomendasi Tambahan

Selain memasang patch, JetBrains juga menyarankan penerapan sejumlah praktik keamanan tambahan untuk mengurangi risiko serangan.

Beberapa rekomendasi tersebut antara lain:

• Membatasi akses TeamCity menggunakan VPN.
• Menambahkan lapisan perlindungan tambahan pada server yang dapat diakses dari internet.
• Menghindari mengekspos antarmuka TeamCity secara langsung ke internet apabila tidak diperlukan.

JetBrains mengingatkan bahwa bahkan halaman login maupun REST API yang dapat diakses publik dapat menjadi titik awal bagi penyerang untuk mengeksploitasi kerentanan yang baru diungkap.

Administrator Diminta Segera Bertindak

Mengingat TeamCity sering menjadi target serangan terhadap rantai pasok perangkat lunak, administrator disarankan segera memperbarui instalasi TeamCity atau memasang plugin keamanan apabila upgrade belum memungkinkan.

Langkah cepat sangat penting untuk mencegah potensi pengambilalihan server CI/CD yang dapat berdampak pada proses pengembangan maupun distribusi perangkat lunak di lingkungan perusahaan.