TeamCity รันโค้ดได้โดยไม่ล็อกอิน CVE-2026-63077 ถูกโจมตีจริง
ผู้ดูแล TeamCity On-Premises ที่ยังไม่ปิดช่องโหว่ต้องลงแพตช์ทันที เพราะมีการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- ผู้โจมตีที่เข้าถึงเซิร์ฟเวอร์ผ่าน HTTP(S) อาจรันคำสั่งระบบได้โดยไม่ต้องล็อกอิน
- Who should read
- ผู้ดูแลระบบที่รับผิดชอบ TeamCity On-Premises รุ่นที่ยังไม่ได้รับการแก้ไข
- Fix in short
- อัปเดตเป็น 2025.11.7 หรือ 2026.1.3 ตามสายรุ่น หรือใช้ security patch plugin ของ JetBrains หากยังอัปเกรดไม่ได้
พอดีไล่ฟีด CISA KEV เจอช่องโหว่ CVE-2026-63077 ของ JetBrains TeamCity ซึ่งเป็นระบบจัดการงาน build และส่งมอบซอฟต์แวร์อัตโนมัติ ประเด็นนี้กระทบตัวเซิร์ฟเวอร์ On-Premises และมีการนำไปโจมตีจริงแล้ว CISA เพิ่มเข้ารายการเมื่อ 5 สิงหาคม 2026 พร้อมกำหนดวันแก้ไขเป็น 8 สิงหาคม 2026 ตาม ข้อมูล KEV ของ CISA
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจ TeamCity On-Premises ที่รับผิดชอบและลงรุ่นแก้หรือแพตช์ของผู้ผลิตทันที โดยเร่งเครื่องที่เข้าถึงได้จากอินเทอร์เน็ตก่อน
เกิดอะไรขึ้น
ช่องโหว่อยู่ใน agent polling protocol ซึ่งเป็นช่องทางที่ build agent ติดต่อเซิร์ฟเวอร์ ปัญหาเกิดตอนอ่านข้อมูลที่ไม่น่าเชื่อถือกลับมาเป็นวัตถุภายในโปรแกรม หรือ deserialization ผู้โจมตีอาจใช้ช่องทางนี้รันคำสั่งได้โดยไม่ต้องล็อกอิน บันทึก CVE ที่ JetBrains เป็นผู้ให้ข้อมูลระบุความรุนแรง Critical และคะแนน CVSS 3.1 เท่ากับ 9.8 ตาม ระเบียน CVE ต้นทาง
JetBrains อธิบายว่าผู้โจมตีที่เข้าถึง TeamCity ผ่าน HTTP(S) อาจข้ามการตรวจสอบตัวตนและสั่งงานระบบปฏิบัติการด้วยสิทธิ์ของโปรเซส TeamCity ได้ ผลกระทบอาจรวมถึงข้อมูล การตั้งค่า และข้อมูลรับรองที่เก็บไว้ ตลอดจนความน่าเชื่อถือของไฟล์ผลลัพธ์จาก build และกระบวนการ CI/CD ที่ต่อเนื่องกัน ตาม ประกาศความปลอดภัยของ JetBrains
สถานะการโจมตีเปลี่ยนไปตามวันที่: ประกาศแรกของ JetBrains วันที่ 27 กรกฎาคม 2026 ระบุว่ายังไม่พบการโจมตี แต่ CISA เพิ่มเข้า KEV วันที่ 5 สิงหาคม 2026 และประกาศเพิ่มเติมวันที่ 7 สิงหาคม 2026 ระบุว่าได้รับรายงานการโจมตีแล้ว
กำหนดแก้ของ CISA ใช้กับหน่วยงานภายใต้ข้อกำหนดนั้น องค์กรอื่นก็ควรเร่งแพตช์ เพราะมีหลักฐานการโจมตีจริงแล้ว
ใครโดนและรุ่นที่แก้
ประกาศผู้ผลิตครอบคลุม TeamCity On-Premises ทุกรุ่นก่อนรุ่นแก้ โดยแยกรุ่นเป้าหมายตามสายดังนี้
| ผลิตภัณฑ์ / สายรุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ |
|---|---|
| TeamCity On-Premises สาย 2025.11 ก่อนรุ่นแก้ | 2025.11.7 |
| TeamCity On-Premises สาย 2026.1 ก่อนรุ่นแก้ | 2026.1.3 |
| TeamCity On-Premises สายเก่า | ย้ายไปสายที่มีรุ่นแก้ หรือใช้ security patch plugin หากรองรับ |
TeamCity Cloud ไม่ต้องดำเนินการจากฝั่งผู้ใช้ตามประกาศ JetBrains สำหรับรุ่นเก่า ให้เทียบเลขรุ่นในสายเดียวกัน และตรวจว่าติดตั้งรุ่นแก้หรือเปิดใช้แพตช์นี้แล้วจริง
ต้องทำอะไร
ตรวจรุ่นที่ใช้งาน สำรองข้อมูลและการตั้งค่าก่อนเปลี่ยน แล้วอัปเดตตัวเซิร์ฟเวอร์เป็นรุ่นแก้ตามสายผ่านวิธีติดตั้งหรือระบบอัปเดตของ TeamCity หลังดำเนินการให้ตรวจรุ่นและทดสอบงาน build ที่จำเป็น หากมีทีมอื่นดูแลระบบนี้ ให้ขอหลักฐานการลงแพตช์แทนการดูเพียงว่าหน้าเว็บยังเปิดได้
กรณียังอัปเกรดไม่ได้ ผู้ผลิตมี security patch plugin สำหรับ TeamCity 2017.1 ขึ้นไป รุ่น 2017.1–2018.1 ต้องรีสตาร์ตเซิร์ฟเวอร์หลังติดตั้ง ส่วนรุ่น 2018.2 ขึ้นไปเปิดใช้ได้โดยไม่ต้องรีสตาร์ต ตามรายละเอียดใน คำแนะนำการแก้ไขของ JetBrains
security patch plugin แก้เฉพาะ CVE-2026-63077 และไม่ได้ทดแทนการอัปเกรดเพื่อรับการแก้ไขช่องโหว่อื่น
ระหว่างจัดการแพตช์ควรจำกัดการเข้าถึงด้วยเครือข่ายที่เชื่อถือได้หรือ VPN ตามคำแนะนำผู้ผลิต และให้โปรเซส TeamCity ใช้สิทธิ์เท่าที่จำเป็น การมีหน้าเข้าสู่ระบบไม่ได้ป้องกันช่องโหว่นี้ เพราะผู้โจมตีไม่ต้องล็อกอิน ควรตรวจบันทึกและความเปลี่ยนแปลงผิดปกติควบคู่กันด้วย การลงแพตช์ปิดช่องทางนี้ไม่ได้ยืนยันว่าเครื่องไม่เคยถูกบุกรุก
ส่วนตัวผมให้เรื่องนี้เป็นงานแพตช์ทันทีสำหรับ TeamCity On-Premises ที่ยังไม่ได้แก้ เพราะมีการโจมตีจริงแล้ว ที่มา: CISA KEV — CVE-2026-63077 และ JetBrains Security Advisory หากมีรายละเอียดที่ต้องขยาย เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first