JetBrains 警告 TeamCity On-Premises 存在严重认证绕过漏洞，可导致远程代码执行

据 BleepingComputer 于 2026 年 7 月 31 日报道，JetBrains 已发布安全警告，称其 TeamCity On-Premises 产品存在一个严重的认证绕过漏洞。来源显示，该漏洞可能被攻击者利用，并进一步实现远程代码执行。由于 TeamCity 常用于软件构建、持续集成与发布流程，一旦被入侵，风险不仅限于单台服务器，还可能波及代码仓库、构建产物、访问令牌以及内部部署环境。对于依赖自托管 CI/CD 平台的企业和开发团队而言，这类漏洞应被视为高优先级事件处理。

漏洞风险为何值得关注

TeamCity On-Premises 属于部署在企业自有服务器或私有环境中的版本，通常与源代码管理、制品库、测试系统和发布流水线深度连接。来源摘要指出，此次问题的核心是认证绕过，这意味着攻击者可能无需正常登录流程，即可触达原本应受保护的功能或接口；而进一步的远程代码执行则代表攻击者有机会在目标服务器上运行恶意代码。

从攻击链角度看，CI/CD 系统一旦暴露在公网或被攻击者从内网侧访问，后果可能放大。构建服务器通常保存着大量自动化凭据，例如部署密钥、API Token、云服务访问配置、镜像仓库凭据等。即使攻击最初只针对 TeamCity，最终也可能演变为对软件供应链的攻击，包括篡改构建脚本、植入后门、窃取敏感配置或横向移动到其他系统。

管理员应优先检查哪些环节

目前来源信息显示，JetBrains 已就该严重漏洞发出警告。对于使用 TeamCity On-Premises 的组织，首要任务是确认自身是否运行受影响的本地部署实例，并跟进厂商发布的修复或缓解措施。尤其是将管理界面、构建代理或相关服务暴露在互联网环境中的团队，需要尽快进行风险评估。

• 确认资产范围：排查所有 TeamCity On-Premises 实例，包括测试、预生产和历史遗留服务器。
• 关注厂商公告：以 JetBrains 官方安全说明和更新建议为准，及时应用可用补丁或临时缓解方案。
• 限制访问入口：避免将管理端口直接暴露到公网，优先通过受控网络、堡垒机或可信访问通道进入。
• 审计异常行为：检查近期登录、构建配置变更、插件安装、Token 使用和构建产物是否存在异常。
• 轮换敏感凭据：若怀疑实例曾暴露或被访问，应考虑更新部署密钥、API Token 和相关服务密码。

从 VPN 与隐私保护角度的解读

这起事件再次说明，远程管理入口和开发基础设施不应默认暴露在公共网络中。VPN 并不能替代补丁管理，也不能修复应用本身漏洞，但它可以在访问控制层面减少攻击面：只有通过授权网络通道的人员，才能访问 TeamCity 管理界面或内部构建服务。对于分布式研发团队，可将 RedGate VPN 作为可选的受控接入方案之一，用于降低管理后台被互联网扫描和探测的概率。

不过需要强调的是，网络隔离不是漏洞修复。如果 TeamCity 实例已经处于受影响状态，仅依赖访问限制并不足够。管理员仍应尽快完成版本核查、补丁部署、日志排查和凭据轮换。对于处理客户数据、源代码或商业机密的团队，还应把 CI/CD 系统纳入隐私与安全审计范围，因为构建环境泄露往往会间接暴露更多敏感信息。

企业下一步应如何处置

建议相关组织将此次 JetBrains 警告纳入应急响应流程，而不是仅作为普通软件更新处理。安全团队、运维团队和研发负责人应协同确认影响面：哪些项目依赖该平台、哪些凭据存放在构建配置中、哪些发布流程可能受到影响。若发现异常，应保留日志证据，暂停高风险自动化任务，并按内部事件响应机制升级处理。

总体来看，此次 TeamCity On-Premises 严重漏洞的关键风险在于其位置敏感：它处在软件交付链路的中枢。对 VPN 用户和隐私保护从业者而言，最重要的启示是：持续集成平台、远程管理后台和开发工具链都应纳入零信任访问、最小权限和定期审计框架，避免一个认证绕过漏洞演变成更大范围的数据和供应链安全事件。