自架 TeamCity 爆出免登入就能下系統指令的漏洞：CISA 確認已遭利用，限期 3 天內處理

一句話看懂：自己架的 JetBrains TeamCity 被爆出「不用登入就能下系統指令」的嚴重漏洞，CISA 在 8 月 5 日確認已有人實際攻擊，限期 3 天內處理。

先用白話講：TeamCity 是什麼？為什麼它被盯上？

TeamCity 是軟體團隊用來「自動打包、測試、上線」的工具，也就是 CI/CD 伺服器。你可以把它想成工廠裡的總控室：程式碼進來、成品出去，所有鑰匙、密碼和設定都放在這間房裡。

所以只要有人闖進總控室，不只能看到所有機密，還可能偷偷改掉出貨的成品。這也是攻擊者特別愛打 CI/CD 伺服器的原因。

發生什麼事

• 漏洞編號 CVE-2026-63077，JetBrains 說明這是一個不需要登入的遠端程式碼執行漏洞，攻擊途徑是 TeamCity 的「agent 輪詢協定」（讓建置機器向伺服器領工作的那條溝通管道）
• 這個 CVE 在 7 月 27 日被 NVD（美國的漏洞資料庫）收錄，CVSS 評分 9.8（滿分 10）
• 美國 CISA 在 8 月 5 日把它加進「已知遭利用漏洞」（KEV）目錄，依據是已有主動攻擊的證據，並要求聯邦機關在 8 月 8 日前處理，只給 3 天
• 依 JetBrains 公告，漏洞是 7 月 10 日由研究者私下通報；JetBrains 的公告當時寫「不知道有實際攻擊」，後來 CISA 認定已經有人在利用
• 補充：我查到 KEV 目錄現在對這筆的「已知被勒索軟體利用」欄位是「已知」，但 8 月 5 日當天是否就已標示，我沒有查證

誰會中、怎麼處理

給開發者的技術細節

JetBrains 建議的處理順序：

1. 升級到 2025.11.7 或 2026.1.3，可以用 TeamCity 內建的自動更新
2. 升不了就裝安全修補外掛。2024.03 以上的版本會自動下載並通知管理員，到 Administration | Updates 的 Available security updates 套用；2017.1 到 2018.1 裝完要重啟伺服器，2018.2 起不用
3. 外掛只修這一個洞，官方仍建議之後升到最新版
4. 長期做法：網路上看得到登入頁的伺服器，建議要求 VPN 或加一層額外防護；TeamCity 伺服器程序用最小系統權限執行，並與建置機器（build agent）放在不同主機

官方也提醒，成功攻擊後可能讓人讀到 TeamCity 的資料、設定與儲存的憑證，並改動建置產物，影響下游的 CI/CD 流程。所以升級之後，建議順手檢查有沒有不認得的帳號、設定或建置紀錄，並評估是否要換掉存在 TeamCity 裡的密碼與金鑰。後面這兩點是我的建議，不是官方的要求。

我的看法

我自己的專案主要用 GitHub Actions，沒有自架 TeamCity，但幫中小企業做系統時，偶爾會遇到對方內網或雲端主機上有一台「很久沒人動」的 CI 伺服器，大家都忘了它還開著。這類機器最危險：沒人升級、權限又大、裡面還存著部署金鑰。

這次 CISA 只給 3 天，等於在說「已經有人在打了」。如果你或你的客戶有自架 TeamCity，先確認版本、再確認這台機器能不能從外網連到，最後才是排時間升級。不確定有沒有人在用，就先把它擋在 VPN 後面，比放著等好得多。

名詞小辭典

• CI/CD：自動把程式碼測試、打包、部署上線的流程與工具。
• 遠端程式碼執行（RCE）：攻擊者能在別人的伺服器上執行自己指定的指令，是最嚴重的漏洞類型之一。
• CISA KEV 目錄：美國 CISA 整理的「已經有人實際在攻擊」的漏洞清單，會規定機關的修補期限。
• CVSS：衡量漏洞嚴重程度的 0 到 10 分制，9.0 以上算「嚴重」。

資料來源

• CISA：CISA Adds One Known Exploited Vulnerability to Catalog（2026-08-05）
• JetBrains：Critical Security Issue Affecting TeamCity On-Premises (CVE-2026-63077)
• NVD：CVE-2026-63077