Se la tua è una software house, una web agency o uno studio che sviluppa per conto terzi, c’è una buona probabilità che da qualche parte in azienda giri TeamCity: il server che compila il codice, lancia i test e manda in produzione i progetti. Ieri, 28 luglio, JetBrains ha pubblicato un avviso di sicurezza che riguarda quel server.
Il codice della falla è CVE-2026-63077. E la frase che conta è una sola: chi riesce a raggiungere via web quel server può eseguire comandi senza avere alcuna password.
Cosa fa esattamente
L’advisory di JetBrains è netto: un attaccante non autenticato che abbia accesso HTTP o HTTPS al server TeamCity può aggirare i controlli di autenticazione ed eseguire comandi di sistema con i privilegi del processo TeamCity.
Non serve una credenziale rubata. Non serve un dipendente che clicchi su qualcosa. Serve solo che quel server sia raggiungibile.
Le testate di sicurezza che hanno ripreso l’avviso attribuiscono alla vulnerabilità un punteggio di 9,8 su 10. Va detto per correttezza che l’advisory del produttore, letto direttamente, non espone il numero: il 9,8 è il dato riportato dalla stampa specializzata.
Chi invece può stare tranquillo
TeamCity Cloud non è interessato. JetBrains scrive esplicitamente che i clienti della versione cloud non devono fare nulla: le istanze sono già state sistemate dal produttore.
È una distinzione che vale la pena tenere a mente più in generale. Ospitare da soli uno strumento significa avere il controllo, ma significa anche che la manutenzione di sicurezza è un lavoro che qualcuno in azienda deve fare — e in molte piccole realtà quel qualcuno non esiste, semplicemente.
Nel caso della CVE-2026-63077 la differenza è tutta qui. Sulle istanze TeamCity Cloud la correzione è stata applicata dal produttore e il cliente non deve fare nulla. Sulle installazioni On-Premises la patch la deve applicare l'azienda che ospita il server, e finché non lo fa il problema resta aperto. Non è un giudizio sull'uno o sull'altro modello: è il costo nascosto dell'autogestione, che va messo a bilancio insieme al risparmio di licenza.
Le versioni, quelle esatte
JetBrains ha rilasciato la correzione in due versioni:
- 2025.11.7
- 2026.1.3
Per chi non può aggiornare subito — perché il server è in mezzo a una consegna, o perché l’aggiornamento richiede una finestra di fermo concordata — esiste un’alternativa: un plugin di patch di sicurezza valido per le versioni 2017.1 e successive. Non è la soluzione definitiva, ma copre il buco mentre si pianifica l’aggiornamento vero.
La cosa che quasi nessuno fa: toglierlo da internet
Nell’avviso c’è un passaggio che vale più della patch stessa. JetBrains raccomanda di limitare l’accesso al server a reti fidate o tramite VPN, e avverte che anche la sola schermata di login o la REST API esposte su internet costituiscono un punto di ingresso utile a chi vuole sfruttare vulnerabilità appena scoperte.
Tradotto: la prossima falla arriverà, come è arrivata questa. Se il server delle build è raggiungibile dal mondo, ogni nuovo avviso di sicurezza diventa una corsa contro il tempo. Se sta dietro una VPN, diventa una manutenzione da programmare con calma.
Perché per uno studio non è un problema tecnico ma contrattuale
Qui sta il punto che riguarda il titolare, non il sistemista.
Il server delle build non contiene solo codice. Contiene le chiavi di deploy, i token dei servizi cloud e le credenziali di accesso agli ambienti dei clienti: è, di fatto, il computer che sa come entrare nei progetti di tutti i committenti. Se cade quello, non hai un problema interno da risolvere in silenzio nel fine settimana. Hai un incidente che tocca dati e sistemi di terzi, con quello che ne consegue in termini di comunicazioni dovute, clausole contrattuali e — molto concretamente — fiducia.
In una software house le credenziali dei singoli clienti sono spesso sparse tra i portatili degli sviluppatori, ma convergono tutte nel server che esegue i deploy. Per questo una compromissione della CI/CD non si ferma al perimetro dello studio: si propaga ai progetti dei committenti. È anche la ragione per cui vale la pena sapere, oggi e non durante un incidente, quali credenziali di cliente sono memorizzate lì dentro e con quale scadenza vanno ruotate.
Cosa fare, in ordine
- Verifica se è On-Premises o Cloud. Se è Cloud, hai finito qui.
- Guarda la versione installata. Se non è la 2025.11.7 o la 2026.1.3, va aggiornata.
- Se non puoi aggiornare subito, installa il plugin di patch di sicurezza: copre dalla 2017.1 in avanti.
- Controlla se il server è raggiungibile da internet. Se sì, mettilo dietro VPN o limita gli indirizzi ammessi.
- Fatti dare conferma per iscritto da chi lo gestisce, con versione di partenza e di arrivo e data dell’intervento.
In breve
La CVE-2026-63077 permette a chi raggiunge un server TeamCity On-Premises di eseguire comandi senza autenticarsi. Sono colpite tutte le versioni installate su server proprio; TeamCity Cloud no. Le versioni corrette sono la 2025.11.7 e la 2026.1.3, e per chi non può aggiornare c’è un plugin di patch dalla 2017.1 in poi.
Un dato in controtendenza rispetto ad altre notizie di sicurezza: al momento dell’avviso JetBrains non risulta alcuno sfruttamento attivo. Non è un motivo per rimandare, è l’esatto contrario — è la rara occasione in cui si applica una patch prima che qualcuno la usi contro di te, invece che dopo. Quella finestra dura poco, e di solito si chiude nel giro di giorni.