影响JetBrains Cadence的安全事件
内容提要
JetBrains披露其云服务Cadence遭安全入侵，因未修补的TeamCity漏洞（CVE-2026-63077）被利用，影响2026年8月8日至24日。用户数据（如用户名、邮箱）及2024年备份泄露，AWS凭据或遭窃。建议用户立即轮换所有凭据、审查可疑活动，并视项目文件为不可信。JetBrains已下线服务器并致歉。
延伸解读
事件时间线与影响范围
攻击活动从2026年8月8日持续至8月24日，JetBrains于8月23日发现入侵，次日将服务器下线。受影响服务器为api.cadence.jetbrains.com。泄露数据包括用户名、真实姓名、邮箱、最后登录时间戳和IP地址，以及2024年的完整备份，其中可能包含凭据、配置和工件等敏感信息。
凭据泄露的广泛风险
攻击者窃取了多个AWS IAM用户及相关凭据，这些凭据存在于2024年备份中。此外，任何在Cadence中存储或用于执行的凭据，包括云服务、源代码管理、包仓库、容器注册表、Slack令牌等，都应视为已泄露。用户需立即轮换所有相关凭据，并审查连接的系统是否有可疑活动。
对用户的具体建议
JetBrains建议用户立即撤销或轮换所有可能用于Cadence执行的凭据和密钥，将项目中的执行输入输出视为不可信，并检查源代码仓库是否有未授权更改。用户还可联系JetBrains获取凭据清单，但该清单并非详尽无遗。此外，应警惕利用泄露个人信息进行的定向钓鱼和社会工程攻击。
Q&A
JetBrains Cadence 安全事件是什么？
JetBrains 披露其云服务 Cadence 遭到安全入侵，原因是未修补的 TeamCity 漏洞 CVE-2026-63077 被利用，影响时间为 2026 年 8 月 8 日至 24 日。攻击者获取了用户数据（如用户名、邮箱）和 2024 年的备份，并可能窃取 AWS 凭据。JetBrains 已下线服务器并建议用户立即轮换凭据。
Cadence 是什么？
Cadence 是 JetBrains 托管的云服务，通过可选插件与 PyCharm 集成，允许用户在云计算资源上运行项目。它使用 JetBrains TeamCity 来编排工作。
攻击者利用了哪个漏洞？
攻击者利用了 TeamCity 中的关键漏洞 CVE-2026-63077，该漏洞允许未经身份验证的攻击者在易受攻击的服务器上执行任意命令。
Cadence 用户需要立即采取哪些行动？
Cadence 用户应立即撤销或轮换所有可能用于运行 Cadence 执行的凭据和密钥；检查连接的系统（尤其是 AWS 账户、S3 存储桶、部署环境、包/容器注册表）是否有可疑活动；审查源代码仓库是否有未经授权的更改；审查从 PyCharm 同步到 Cadence 的代码和项目文件，并轮换其中包含的敏感信息；将所有执行（包括输入和输出）视为潜在不可信。
哪些数据可能已经泄露？
可能泄露的数据包括：用户名、真实姓名、电子邮件地址、最后登录时间戳和最后访问的 IP 地址；2024 年的完整备份（包含凭据、配置、工件、日志等）；多个 AWS IAM 用户及相关凭据；S3 存储桶中的文件；以及从 PyCharm 同步到受影响服务器的源代码。
JetBrains 采取了哪些应对措施？
JetBrains 于 2026 年 8 月 24 日将受影响的服务器下线，并继续调查；已使所有用于连接 Cadence 的访问令牌失效；通知相关当局；并直接联系受影响的用户。此外，JetBrains 承认服务器本应修补漏洞但未修补，并为此道歉。
如何判断我的账户是否受到影响？
JetBrains 提供了入侵指标（IoCs），包括从 2026 年 8 月 8 日起的异常活动、特定 IP 地址（如 150.109.230.104、43.153.227.206 等）、来自意外 IP 的认证、意外的仓库克隆或提交、仓库密钥或权限的更改、新的访问令牌或 SSH 密钥、新的服务账户、云 IAM 角色或策略的意外更改、对云存储的意外访问，以及包或发布的意外修改。但请注意，这些指标并非详尽无遗，没有这些指标也不代表账户未受影响。
如果我的凭据可能泄露，我应该怎么做？
您应该立即撤销或轮换所有可能用于 Cadence 执行的凭据和密钥，包括云凭据（AWS、Azure、Google Cloud）、源代码控制凭据（GitHub、GitLab、Bitbucket）、包仓库凭据（npm、Maven、NuGet、PyPI）、容器注册表凭据（Docker Hub、ECR、GCR、ACR）、Slack 令牌、Webhook、API 令牌、SSH/部署密钥、服务账户凭据、签名密钥/证书等。同时，检查连接的系统是否有可疑活动，并联系 JetBrains 安全团队获取凭据清单。
