CVE-2026-63077：针对活跃利用报告发布补充指南
内容提要
CVE-2026-63077漏洞正被积极利用，攻击未修补的TeamCity服务器。建议用户立即升级至2025.11.7或2026.1.3版本，或安装安全补丁插件。该漏洞无需认证，可通过代理轮询协议执行任意命令。管理员应检查日志中的异常消息和未授权代理，并限制外部访问以降低风险。
延伸解读
漏洞利用特征与日志排查
文章指出，日志中出现“com.thoughtworks.xstream.converters.ConversionException”可能表明存在尝试或成功的利用，但该消息本身并不能确认已被入侵。若已安装补丁，出现“ForbiddenClassException”则说明攻击被成功阻止。管理员应结合日志时间戳判断攻击时间，而非依赖未授权代理的日期，因为该日期可能不准确。
未授权代理的识别与处理
建议检查未授权构建代理列表，特别关注名称以“scan”开头的代理，这类代理可能表明攻击者曾尝试利用漏洞。这些代理可以安全移除，但需注意其显示日期不一定代表攻击发生时间，应依据日志时间戳进行判断。若对日志解读有疑问，可联系官方支持。
缓解措施与长期安全建议
若无法立即升级或安装补丁，且服务器暴露于公网，应暂时限制外部访问。长期来看，建议将TeamCity服务器限制在可信网络内，以最小权限运行，并考虑通过VPN或额外安全层保护。此外，服务器应与构建代理分离部署，以降低风险。
Q&A
CVE-2026-63077 是什么漏洞？
CVE-2026-63077 是一个影响 TeamCity 服务器的安全漏洞，无需认证即可被利用，攻击者可通过代理轮询协议执行任意操作系统命令。
CVE-2026-63077 漏洞的修复版本有哪些？
TeamCity 2025.11.7 和 2026.1.3 版本已修复该漏洞，建议用户尽快升级到这些版本。
如果无法立即升级 TeamCity，有什么临时缓解措施？
如果无法立即升级，可以安装安全补丁插件（适用于 TeamCity 2017.1 及更高版本），或者暂时限制外部访问。
TeamCity Cloud 用户需要针对 CVE-2026-63077 采取什么行动？
TeamCity Cloud 用户无需采取任何行动，因为必要的缓解措施已经应用。
如何检测 TeamCity 服务器是否遭到 CVE-2026-63077 漏洞的利用？
管理员可以检查服务器日志中是否出现 'com.thoughtworks.xstream.converters.ConversionException' 消息，以及是否存在名称以 'scan' 开头的未授权代理。这些迹象可能表明存在利用尝试。
CVE-2026-63077 漏洞可能造成哪些影响？
成功利用该漏洞可能暴露 TeamCity 数据、配置和存储的凭据，修改服务器状态，并可能危及构建产物和下游 CI/CD 管道的完整性。
针对 CVE-2026-63077，有哪些长期安全建议？
建议限制 TeamCity 服务器的网络访问，仅允许可信网络连接，使用 VPN 或额外安全层，并以最小操作系统权限运行服务器，同时将服务器与构建代理分开部署。
