JetBrains의 클라우드 서비스 Cadence가 TeamCity의 심각한 취약점(CVE-2026-63077, CVSS 9.8)을 악용한 공격자에 의해 침해되었습니다. 공격자는 2026년 8월 8일부터 24일까지 서버에 무단 접근해 사용자 이름·이메일 등 개인정보, 2024년 서버 전체 백업, AWS IAM 자격증명(비밀 키 포함), S3 버킷 파일, PyCharm에서 동기화된 소스코드를 탈취한 것으로 확인됩니다. 이 취약점은 인증 없이도 원격에서 시스템 명령을 실행할 수 있는(RCE) 결함으로, CISA의 실제 악용 확인 목록(KEV)에 이미 등재되어 있습니다. JetBrains는 Cadence 사용자에게 즉시 모든 자격증명을 폐기·교체하고, 연결된 AWS 계정·S3 버킷·코드 저장소 등을 점검하도록 촉구하고 있습니다. TeamCity 서버를 운영하는 조직은 CVE-2026-63077 패치 적용 여부를 즉시 확인해야 합니다.
공격자가 JetBrains TeamCity의 비신뢰 데이터 역직렬화 취약점 CVE-2026-63077(CVSS 9.8)을 악용해 JetBrains 자체 Cadence 서버에 침입했다. 침해 기간은 2026년 8월 8일~24일이며, JetBrains 내부 패치 대응 과정에서 해당 서버가 누락된 것이 원인이었다.
사용자 개인정보(이름·이메일·IP 주소·최종 로그인 시각), 2024년 Cadence 서버 전체 백업, 다수의 AWS IAM 사용자 자격증명·시크릿, S3 버킷 파일, PyCharm에서 동기화된 프로젝트 소스코드 및 설정값이 탈취 또는 노출되었다.
TeamCity 서버의 비신뢰 데이터 역직렬화 취약점(CVE-2026-63077)으로 인해 미인증 공격자가 인증 검사를 우회하고 서버 프로세스 권한으로 임의 OS 명령을 실행할 수 있었다. JetBrains 자체 취약점 대응 프로세스에서 해당 서버의 패치가 누락되었다.
JetBrains는 침해된 Cadence 서버(api.cadence.jetbrains.com)를 오프라인 전환하고 PyCharm Cadence 플러그인의 모든 액세스 토큰을 무효화했다. 사용자에게 모든 자격증명·시크릿 즉시 폐기·교체, AWS·S3·코드 저장소·패키지 레지스트리 등 연결 시스템의 이상 활동 검토를 요청했다.
Cadence 사용 이력이 있는 조직은 AWS IAM 자격증명·역할·정책 변경 이력과 S3 접근 로그를 즉시 점검하고 자격증명을 전면 교체해야 한다. 또한 TeamCity를 자체 운영 중인 조직은 CVE-2026-63077 패치 적용 여부를 즉시 확인해야 하며, 2026년 8월 8일 이후 Cadence를 통해 접근 가능했던 모든 외부 서비스(CI/CD, 클라우드, 패키지 레지스트리)의 비정상 활동 여부도 검토해야 한다.
본문
Ravie Lakshmanan · 2026년 9월 5일 · 데이터 침해 / ID 보안
JetBrains가 Cadence 사용자들에게 자격증명 전면 폐기·교체를 촉구하고 있다. 지난달 정체불명의 위협 행위자가 최근 공개된 TeamCity의 치명적 취약점을 악용해 JetBrains 자체 환경을 침해한 보안 사고가 발생했기 때문이다.
JetBrains는 "Cadence 사용자들은 Cadence 실행에 사용되었거나 사용됐을 가능성이 있는 모든 자격증명과 시크릿을 즉시 폐기하거나 교체해야 한다"고 밝혔다. "또한 Cadence 프로젝트의 입·출력을 포함한 모든 실행 결과를 잠재적으로 신뢰할 수 없는 것으로 간주해야 한다."
"위협 행위자가 Cadence 서버에 접근했으므로, Cadence에 저장된 자격증명·시크릿, 유출된 백업에 포함된 자격증명·시크릿, 또는 침해된 서버의 실행 과정에서 노출된 자격증명·시크릿은 모두 유출된 것으로 보고 반드시 폐기하거나 교체해야 한다."
Cadence는 JetBrains가 운영하는 클라우드 컴퓨팅 서비스로, 선택적 플러그인을 통해 PyCharm과 연동되어 개발자가 IDE에서 직접 머신러닝 및 대규모 워크로드를 클라우드 GPU로 실행할 수 있게 해준다.
이 소프트웨어 개발 기업에 따르면, 이번 공격은 CVE-2026-63077(CVSS 점수: 9.8)을 악용해 Cadence 환경을 침해한 것으로 확인됐다. 이 비신뢰 데이터 역직렬화(Deserialization of Untrusted Data) 취약점은 TeamCity 서버에 접근 가능한 미인증 공격자가 인증 검사를 우회하고 TeamCity 서버 프로세스의 권한으로 임의 운영체제 명령을 실행할 수 있게 한다.
이 보안 취약점은 이미 실제 환경에서 활발히 악용되고 있으며, 미국 사이버보안·인프라보안국(CISA)은 2026년 8월 5일 이를 알려진 악용 취약점(KEV, Known Exploited Vulnerabilities) 목록에 등재했다. JetBrains가 이번 악용을 탐지한 것은 2026년 8월 23일이었다.
이후 업데이트에서 JetBrains는 위협 행위자가 2024년에 생성된 Cadence 서버 백업에 담긴 데이터에 접근했으며, 현재 Cadence 사용자의 이메일 주소, 프로젝트 소스코드, 자격증명 등이 포함된 스토리지에 접근할 수 있는 권한을 획득했을 가능성이 있다고 밝혔다.
JetBrains의 솔루션 엔지니어링 리드 Daniel Gallo는 "이번 결과는 이전에 직접 연락을 취한 동일 사용자 그룹에 해당한다"며 "추가로 피해를 입은 사용자는 확인되지 않았다. 다만 예방 차원에서 해당 스토리지에 저장된 데이터는 잠재적으로 노출된 것으로 간주하고 있다"고 밝혔다.
위협 행위자가 접근하거나 유출한 것으로 확인된 정보는 다음과 같다.
- 사용자 이름, 실명, 이메일 주소, 마지막 로그인 타임스탬프, 마지막 접속 IP 주소를 포함한 개인정보
- 2024년에 생성된 Cadence 서버 전체 백업(자격증명, 설정, 아티팩트, 로그 등 포함)
- 2024년 백업에서 추출된 Cadence 연동 AWS IAM 사용자 다수 및 관련 자격증명·시크릿 (해당 서비스를 사용한 JetBrains 직원 소유의 IAM 사용자 포함)
- Cadence가 사용하는 JetBrains AWS 계정 내 S3 버킷에 저장된 파일
JetBrains는 또한 공격자가 PyCharm 프로젝트에서 침해된 서버로 동기화된 소스코드에도 접근했을 가능성이 있다고 경고했다. 이는 사용자가 Cadence에서 실행하기 위해 PyCharm으로 프로젝트 파일을 업로드하거나 동기화한 경우에 해당하며, 이 과정에서 코드·자격증명·설정값이 의도치 않게 노출되었을 수 있다.
배후 세력은 아직 명확히 밝혀지지 않았다. 다만 JetBrains는 침입이 2026년 8월 8일부터 24일 사이에 이루어졌다고 밝혔다. 악용된 Cadence 서버(api.cadence.jetbrains.com)는 현재 오프라인 상태다. JetBrains는 해당 서버가 자체 취약점 대응 과정에서 패치됐어야 했음을 인정하면서도, 왜 이 조치가 이루어지지 않았는지에 대해서는 구체적인 설명을 내놓지 않았다.
JetBrains는 또한 PyCharm의 JetBrains Cadence 플러그인이 Cadence에 연결하는 데 사용하는 모든 액세스 토큰을 무효화했다. 다음과 같은 침해지표(IoC)도 공유했다.
- 2026년 8월 8일 이후 발생한 활동, 특히 Cadence에 저장되어 있거나 Cadence를 통해 접근 가능했던 자격증명을 이용한 인증 또는 활동
- 악용 활동과 연관된 IP 주소: 150.109.230.104 / 43.153.227.206 / 62.210.127.48 / 210.247.242.190 / 15.235.225.205 / 152.233.30.18
- 예상치 못한 IP 주소 또는 위치에서의 인증 또는 기타 활동
- 예상치 못한 저장소 클론·다운로드 및 저장소에 대한 예상치 못한 커밋
- 저장소 시크릿, 웹훅, 협력자, 권한 변경
- 외부 서비스의 신규 또는 수정된 개인 액세스 토큰, API 토큰, SSH 키
- 외부 서비스에서 신규 생성된 서비스 계정
- 클라우드 IAM 역할, 정책, 권한에 대한 예상치 못한 변경
- AWS, Google Cloud 등 서비스의 S3 버킷 및 오브젝트를 포함한 클라우드 스토리지에 대한 예상치 못한 접근
- 패키지 또는 릴리스의 예상치 못한 게시 또는 수정
사용자들은 모든 자격증명을 교체하는 것 외에도, AWS 계정·S3 버킷·배포 환경·패키지/컨테이너 레지스트리 등 폐기된 자격증명으로 접근 가능했던 연결 시스템의 의심스러운 활동을 검토하고, 해당 기간 동안 소스코드 저장소에 대한 무단 변경 여부를 감사하며, 모든 실행 결과를 잠재적으로 신뢰할 수 없는 것으로 취급할 것을 권고받고 있다.
JetBrains는 "개인정보 노출로 인해 피해를 입은 이름과 이메일 주소를 활용한 표적 피싱, 사회공학적 공격, 사칭, 기타 원치 않는 악의적 통신의 위험이 높아질 수 있다"고 경고했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
