TeamCity รันโค้ดได้โดยไม่ล็อกอิน CVE-2026-63077 ถูกโจมตีจริง

พอดีไล่ฟีด CISA KEV เจอช่องโหว่ CVE-2026-63077 ของ JetBrains TeamCity ซึ่งเป็นระบบจัดการงาน build และส่งมอบซอฟต์แวร์อัตโนมัติ ประเด็นนี้กระทบตัวเซิร์ฟเวอร์ On-Premises และมีการนำไปโจมตีจริงแล้ว CISA เพิ่มเข้ารายการเมื่อ 5 สิงหาคม 2026 พร้อมกำหนดวันแก้ไขเป็น 8 สิงหาคม 2026 ตาม ข้อมูล KEV ของ CISA

ใครต้องทำอะไร

• ผู้ดูแลระบบ: ตรวจ TeamCity On-Premises ที่รับผิดชอบและลงรุ่นแก้หรือแพตช์ของผู้ผลิตทันที โดยเร่งเครื่องที่เข้าถึงได้จากอินเทอร์เน็ตก่อน

เกิดอะไรขึ้น

ช่องโหว่อยู่ใน agent polling protocol ซึ่งเป็นช่องทางที่ build agent ติดต่อเซิร์ฟเวอร์ ปัญหาเกิดตอนอ่านข้อมูลที่ไม่น่าเชื่อถือกลับมาเป็นวัตถุภายในโปรแกรม หรือ deserialization ผู้โจมตีอาจใช้ช่องทางนี้รันคำสั่งได้โดยไม่ต้องล็อกอิน บันทึก CVE ที่ JetBrains เป็นผู้ให้ข้อมูลระบุความรุนแรง Critical และคะแนน CVSS 3.1 เท่ากับ 9.8 ตาม ระเบียน CVE ต้นทาง

JetBrains อธิบายว่าผู้โจมตีที่เข้าถึง TeamCity ผ่าน HTTP(S) อาจข้ามการตรวจสอบตัวตนและสั่งงานระบบปฏิบัติการด้วยสิทธิ์ของโปรเซส TeamCity ได้ ผลกระทบอาจรวมถึงข้อมูล การตั้งค่า และข้อมูลรับรองที่เก็บไว้ ตลอดจนความน่าเชื่อถือของไฟล์ผลลัพธ์จาก build และกระบวนการ CI/CD ที่ต่อเนื่องกัน ตาม ประกาศความปลอดภัยของ JetBrains

สถานะการโจมตีเปลี่ยนไปตามวันที่: ประกาศแรกของ JetBrains วันที่ 27 กรกฎาคม 2026 ระบุว่ายังไม่พบการโจมตี แต่ CISA เพิ่มเข้า KEV วันที่ 5 สิงหาคม 2026 และประกาศเพิ่มเติมวันที่ 7 สิงหาคม 2026 ระบุว่าได้รับรายงานการโจมตีแล้ว

กำหนดแก้ของ CISA ใช้กับหน่วยงานภายใต้ข้อกำหนดนั้น องค์กรอื่นก็ควรเร่งแพตช์ เพราะมีหลักฐานการโจมตีจริงแล้ว

ใครโดนและรุ่นที่แก้

ประกาศผู้ผลิตครอบคลุม TeamCity On-Premises ทุกรุ่นก่อนรุ่นแก้ โดยแยกรุ่นเป้าหมายตามสายดังนี้

TeamCity Cloud ไม่ต้องดำเนินการจากฝั่งผู้ใช้ตามประกาศ JetBrains สำหรับรุ่นเก่า ให้เทียบเลขรุ่นในสายเดียวกัน และตรวจว่าติดตั้งรุ่นแก้หรือเปิดใช้แพตช์นี้แล้วจริง

ต้องทำอะไร

ตรวจรุ่นที่ใช้งาน สำรองข้อมูลและการตั้งค่าก่อนเปลี่ยน แล้วอัปเดตตัวเซิร์ฟเวอร์เป็นรุ่นแก้ตามสายผ่านวิธีติดตั้งหรือระบบอัปเดตของ TeamCity หลังดำเนินการให้ตรวจรุ่นและทดสอบงาน build ที่จำเป็น หากมีทีมอื่นดูแลระบบนี้ ให้ขอหลักฐานการลงแพตช์แทนการดูเพียงว่าหน้าเว็บยังเปิดได้

กรณียังอัปเกรดไม่ได้ ผู้ผลิตมี security patch plugin สำหรับ TeamCity 2017.1 ขึ้นไป รุ่น 2017.1–2018.1 ต้องรีสตาร์ตเซิร์ฟเวอร์หลังติดตั้ง ส่วนรุ่น 2018.2 ขึ้นไปเปิดใช้ได้โดยไม่ต้องรีสตาร์ต ตามรายละเอียดใน คำแนะนำการแก้ไขของ JetBrains

ระหว่างจัดการแพตช์ควรจำกัดการเข้าถึงด้วยเครือข่ายที่เชื่อถือได้หรือ VPN ตามคำแนะนำผู้ผลิต และให้โปรเซส TeamCity ใช้สิทธิ์เท่าที่จำเป็น การมีหน้าเข้าสู่ระบบไม่ได้ป้องกันช่องโหว่นี้ เพราะผู้โจมตีไม่ต้องล็อกอิน ควรตรวจบันทึกและความเปลี่ยนแปลงผิดปกติควบคู่กันด้วย การลงแพตช์ปิดช่องทางนี้ไม่ได้ยืนยันว่าเครื่องไม่เคยถูกบุกรุก

ส่วนตัวผมให้เรื่องนี้เป็นงานแพตช์ทันทีสำหรับ TeamCity On-Premises ที่ยังไม่ได้แก้ เพราะมีการโจมตีจริงแล้ว ที่มา: CISA KEV — CVE-2026-63077 และ JetBrains Security Advisory หากมีรายละเอียดที่ต้องขยาย เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ