Veröffentlicht am 07.08.2026
Angreifer können derzeit ohne einen einzigen gültigen Login die vollständige Kontrolle über TeamCity-Build-Server übernehmen – und damit über Ihre gesamte Software-Lieferkette. Die US-Cybersicherheitsbehörde CISA hat die Schwachstelle CVE-2026-63077 in JetBrains TeamCity On-Premises am 5. August 2026 in ihren Katalog der aktiv ausgenutzten Sicherheitslücken aufgenommen. Der Grund: Es gibt bereits bestätigte Angriffe in der Praxis. US-Bundesbehörden müssen bis zum 8. August 2026 patchen. Wer TeamCity selbst betreibt und noch nicht gehandelt hat, sollte das Update-Fenster als bereits abgelaufen betrachten.
JetBrains TeamCity ist ein weit verbreitetes Werkzeug zur Automatisierung von Softwareentwicklung – ein sogenannter CI/CD-Server (Continuous Integration/Continuous Delivery, also automatisiertes Zusammenbauen und Ausliefern von Software). Am 27. Juli 2026 veröffentlichte JetBrains ein Sicherheits-Advisory zu einer kritischen Lücke in der selbst gehosteten Variante TeamCity On-Premises. Die Schwachstelle trägt die Kennung CVE-2026-63077 und erhielt den CVSS-Score 9.8 von maximal 10 – die höchste Risikostufe.
Der zeitliche Ablauf zeigt, wie schnell aus einer gemeldeten Lücke ein akutes Problem wurde: Der Sicherheitsforscher Antoni Tremblay meldete die Schwachstelle am 10. Juli 2026 vertraulich an JetBrains. 17 Tage später, am 27. Juli, folgte das öffentliche Advisory samt gepatchter Versionen. Weitere 9 Tage später, am 5. August, nahm CISA die Lücke in ihren Known Exploited Vulnerabilities Catalog (KEV, eine Liste nachweislich ausgenutzter Schwachstellen) auf. Am 7. August bestätigte JetBrains in einem Folge-Advisory die aktive Ausnutzung.
„Seit unserer ersten Ankündigung am 27. Juli 2026 haben wir Berichte über aktive Ausnutzung sowie Ausnutzungsversuche gegen ungepatchte TeamCity-Server erhalten.“ – JetBrains (Daniel Gallo), Follow-up Advisory vom 7. August 2026
Die Lücke steckt im sogenannten Agent-Polling-Protokoll. Das ist der Kommunikationskanal, über den die einzelnen Build-Agenten (die Rechner, die die eigentlichen Bau-Aufgaben ausführen) beim zentralen TeamCity-Server nach neuen Aufträgen fragen.
Zugrunde liegt eine unsichere Deserialisierung nicht vertrauenswürdiger Daten (Fachbegriff: Insecure Deserialization, CWE-502). Vereinfacht: Ein Programm empfängt Daten in einem gepackten Format und „packt sie wieder aus“ (deserialisiert sie), ohne vorher zu prüfen, ob die Daten sicher sind. Ein Angreifer kann speziell präparierte Java-Objekte über HTTP(S) an den Server schicken. Beim Auspacken werden diese Objekte verarbeitet – ohne dass eine Anmeldung erforderlich ist – und lösen die Ausführung beliebiger Betriebssystembefehle aus. Diese Befehle laufen mit den Rechten des TeamCity-Serverprozesses.
Technisch wird dabei die XStream-Bibliothek missbraucht. Das ist auch für die Erkennung wichtig: Bei einem Angriffsversuch erscheint im Server-Log der Eintrag com.thoughtworks.xstream.converters.ConversionException.
Die CVSS-Bewertung fällt aus gutem Grund maximal aus: Der Angriff erfolgt über das Netzwerk, die Komplexität ist niedrig, es sind keine Berechtigungen und keine Benutzerinteraktion nötig. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils „hoch“. Konkret bedeutet ein erfolgreicher Angriff: Offenlegung sämtlicher in TeamCity gespeicherter Daten und Zugangsdaten, Manipulation des Serverzustands und Kompromittierung von Build-Artefakten sowie nachgelagerten Pipelines.
„TeamCity steuert bei zahlreichen Software-Teams die Build-Pipelines. Gerät der Server in fremde Hände, lässt sich der nachgelagerte Code manipulieren. Ein erfolgreicher Angriff kann gespeicherte Zugangsdaten offenlegen, den Serverzustand verändern und Build-Artefakte verfälschen.“ – Redaktion AllAboutSecurity.de, 6. August 2026
Betroffen sind alle Installationen von JetBrains TeamCity On-Premises (selbst gehostet) in folgenden Versionsständen:
Nicht betroffen sind TeamCity-Cloud-Kunden: JetBrains hat die Cloud-Umgebungen bereits automatisch abgesichert. Ebenfalls nicht direkt relevant ist die Lücke für Website-Betreiber, die kein TeamCity und keine eigene CI/CD-Infrastruktur einsetzen.
Zur Größenordnung: Laut ELP Data nutzen weltweit rund 20.554 Unternehmen JetBrains TeamCity. Im CI/CD-Markt hat das Produkt laut 6sense einen Anteil von etwa 4,93 %; in der JetBrains-eigenen „State of CI/CD 2025“-Umfrage gaben 7 % der Organisationen an, TeamCity einzusetzen. Besonders gefährdet sind Instanzen, die direkt aus dem Internet erreichbar sind.
com.thoughtworks.xstream.converters.ConversionException. Dieser Eintrag allein beweist keine Kompromittierung, kann aber auf einen Ausnutzungsversuch oder einen erfolgreichen Angriff hindeuten und sollte untersucht werden.scan beginnen. Das ist ein von JetBrains genannter Kompromittierungsindikator.Angesichts der bestätigten aktiven Ausnutzung ist Eile geboten. JetBrains hat die vollständigen Patches bereits am 27. Juli 2026 bereitgestellt.
Dass ausgerechnet TeamCity ins Visier gerät, ist kein Zufall. Build-Server sind ein Schlüssel zur gesamten Software-Lieferkette – wer sie kontrolliert, kann manipulierten Code an alle nachgelagerten Systeme ausliefern. Die Vorgeschichte spricht eine deutliche Sprache:
„Da TeamCity-Schwachstellen in der Vergangenheit umfangreich ausgenutzt wurden, auch von Ransomware-Banden und staatlich unterstützten Akteuren, sollten Administratoren sofort Maßnahmen ergreifen, um die Risiken zu mindern.“ – Bill Toulas, BleepingComputer, 30. Juli 2026
SecurityWeek fasst die aktuelle Lage zusammen: „Rund eine Woche nach der öffentlichen Bekanntgabe fügte CISA CVE-2026-63077 seinem Katalog der aktiv ausgenutzten Schwachstellen hinzu und forderte Bundesbehörden auf, innerhalb von drei Tagen zu patchen.“ (Ionut Arghire, 6. August 2026)
Für deutsche KMU hat die Lücke eine handfeste rechtliche Dimension. Wenn über den TeamCity-Server personenbezogene Daten verarbeitet werden – etwa Entwickler-Zugangsdaten, Kundendaten in Build-Konfigurationen oder API-Keys für Dienste mit Personenbezug – greift bei einer Kompromittierung die Meldepflicht nach Art. 33 DSGVO: Eine Datenpanne muss unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden, der zuständigen Datenschutzaufsichtsbehörde gemeldet werden, sofern ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Bei einem erfolgreichen Angriff über CVE-2026-63077 ist dieses Risiko in der Regel gegeben, da Angreifer Zugriff auf gespeicherte Zugangsdaten und potenziell alle verwalteten Systeme erlangen. Zusätzlich kann nach Art. 34 DSGVO eine Benachrichtigungspflicht gegenüber den Betroffenen bestehen.
Besonders wichtig: Art. 32 DSGVO verpflichtet Verantwortliche zu geeigneten technischen Maßnahmen – dazu gehört das zeitnahe Einspielen kritischer Sicherheitsupdates. Wer einen verfügbaren Patch für eine bekannte kritische Lücke nicht einspielt, riskiert, dass dies als Pflichtverletzung gewertet wird. Bußgelder sind gestaffelt: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4), bei schwerwiegenden Verstößen bis zu 20 Mio. Euro oder 4 % (Art. 83 Abs. 5).
Zur Einordnung: In Deutschland wurden 2025 insgesamt 10.259 Datenpannen gemeldet. Die Aufsichtsbehörden verhängten 249 Bußgelder mit einer Gesamthöhe von rund 46,9 Mio. Euro – das höchste Einzelbußgeld betrug 45 Mio. Euro (gegen Vodafone, wegen unzureichender Authentifizierungsprozesse). Für KMU fallen Bußgelder meist deutlich niedriger aus, können aber dennoch existenzbedrohend sein.
CVE-2026-63077 ist eine der gefährlichsten Kombinationen, die es gibt: unauthentifizierte Remote-Code-Ausführung mit maximalem CVSS-Score, ein zentraler Angriffspunkt in der Software-Lieferkette – und eine Bedrohungslandschaft, in der staatliche Akteure und Ransomware-Banden TeamCity-Lücken erfahrungsgemäß binnen Tagen ausnutzen. Die aktive Ausnutzung ist von CISA und JetBrains bestätigt. Wenn Sie TeamCity On-Premises betreiben, ist die Priorität eindeutig:
Cloud-Kunden und Unternehmen ohne eigene CI/CD-Infrastruktur können aufatmen – für alle anderen zählt ab jetzt jede Stunde.