JetBrains TeamCity에서 발견된 CVE-2026-63077 취약점은 에이전트 폴링 프로토콜 처리 과정의 신뢰할 수 없는 데이터 역직렬화 결함을 이용합니다. 외부 공격자는 별도의 인증 없이 HTTP(S) 접속만으로 TeamCity 서버 프로세스의 운영체제 권한을 탈취해 임의 코드를 원격 실행할 수 있어 치명적입니다. 이미 실제 악용 사례가 확인됐고 자동화 공격도 가능한 수준으로 평가되어 즉각적인 격리와 패치가 필요합니다.
CVE-2026-63077 개요 및 위험성 분석
이 취약점은 공식 식별자 CVE-2026-63077로 등록됐으며 CVSS v3.1 기준 9.8점(Critical)의 최고 위험등급을 기록했습니다. 공격 벡터(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) 분석 결과, 네트워크 기반 원격 공격이 가능하고 공격 복잡도는 낮습니다. 인증이나 사용자 상호작용 없이 시스템의 기밀성, 무결성, 가용성에 모두 심각한 타격을 입히는 셈입니다. 미국 국토안보부(CISA)는 2026년 8월 5일 이 취약점을 KEV(Known Exploited Vulnerabilities) 목록에 올리며 조치 완료 기한을 같은 달 8일로 설정했습니다. CISA SSVC 평가 결과 exploitation=active(실제 악용 확인), automatable=yes(자동화 가능), technicalImpact=total(기술적 영향 최대)로 나타났습니다. 이는 현재 야생(Wild)에서 조직화된 공격자가 스크립트와 봇을 앞세워 활발히 공격 중임을 시사합니다.
공격 경로 및 기술적 원인
CVE-2026-63077의 핵심 원인은 TeamCity 내부 에이전트 폴링 프로토콜 처리 로직에 있는 역직렬화 결함입니다.
에이전트 폴링 프로토콜과 역직렬화 결함
공격자는 TeamCity 서버의 HTTP나 HTTPS 엔드포인트에만 접근하면 됩니다. 악의적인 페이로드가 담긴 직렬화 데이터를 해당 프로토콜로 서버에 보냅니다. 서버가 검증 없이 이 데이터를 역직렬화하는 순간 CWE-502(신뢰할 수 없는 데이터의 역직렬화) 취약점이 발동합니다. 인증을 우회해 TeamCity 서버 프로세스와 같은 운영체제 권한으로 임의 명령어를 실행할 수 있는 경로가 열리는 것입니다. 공격자는 빌드 파이프라인 전체를 장악하거나 내부 네트워크로 침투하는 발판으로 삼을 수 있어 보안 위협도가 매우 높습니다.
영향 버전 및 공식 대응 현황
이 취약점은 JetBrains TeamCity On-Premises 제품 대다수 버전에 영향을 미칩니다. 공식 수정 버전은 2026.1.3과 2025.11.7입니다. 취약점 범위와 대응 정보는 다음과 같습니다.
| 구분 | 상세 정보 |
|---|---|
| 취약점 식별자 | CVE-2026-63077 |
| 영향 받는 버전 | TeamCity 2026.1.3 미만 및 2025.11.7 미만 |
| 수정된 버전 | TeamCity 2026.1.3, 2025.11.7 |
| CISA KEV 등재일 및 조치 기한 | 등재일: 2026-08-05 / 조치 기한: 2026-08-08 |
| 대체 보안 조치 | 2017.1+ 버전을 위한 공식 보안 패치 플러그인 제공 |
JetBrains은 긴급 버전 업그레이드가 어려운 환경을 위해 2017.1 이상 버전에 적용할 수 있는 공식 보안 패치 플러그인도 배포했습니다. 이 플러그인은 전사적인 빌드 파이프라인 중단 없이 단기간 위험을 격리하는 대안으로 유용합니다.
긴급 완화 조치 및 권장 사항
CISA 조치 기한이 다가오고 실제 악용 사례도 확인된 만큼, 시스템 관리자와 보안 담당자는 아래 절차에 따라 즉시 대응해야 합니다.
- 취약 버전 진단 및 인벤토리 확인: 현재 운영 중인 TeamCity On-Premises 인스턴스 버전을 전체 파악하고 2026.1.3 및 2025.11.7 미만인지 빠르게 검증합니다.
- 공식 패치 적용 또는 플러그인 설치: 인프라 환경이 허용하면 권장 버전으로 즉시 업그레이드합니다. 여의치 않으면 JetBrains 공식 보안 패치 플러그인을 긴급 적용합니다.
- 네트워크 접근 제어 강화: 에이전트 폴링 프로토콜이 쓰는 HTTP(S) 포트 접근을 필수적인 내부 세그먼트로만 제한하고 불필요한 외부 노출을 차단합니다.
- 지속적 모니터링 및 로거 설정: 역직렬화 시도나 비정상 명령어 실행 패턴을 찾아내기 위해 서버 로그와 네트워크 트래픽 모니터링을 강화합니다.
CVE-2026-63077 취약점은 단순 정보 유출을 넘어 운영체제 수준의 제어권을 내주는 치명적 결함입니다. CISA가 KEV에 등재하고 실제 악용(active exploitation)이 보고된 상황이라, DevOps 파이프라인을 멈추지 않더라도 즉각적인 패치나 격리 조치가 기업 보안의 최우선 과제입니다.