미국 사이버보안·인프라 보안국(CISA)이 랜섬웨어 조직들이 JetBrains TeamCity의 심각한 취약점(CVE-2026-63077)을 실제 공격에 활용하고 있다고 경고했습니다. 이 취약점은 인증 없이 원격에서 운영체제 명령을 실행할 수 있는 인증 우회 결함으로, JetBrains는 7월 25일 패치를 배포했습니다. 공격이 성공하면 빌드 데이터와 저장된 자격증명(계정 정보) 탈취, 서버 상태 변경, CI/CD(소프트웨어 자동 빌드·배포) 파이프라인 전체 침해가 가능합니다. CISA는 KEV(실제 악용 확인 목록) 등재 후 연방기관에 3일 내 조치를 명령했으며, 현재도 약 160대의 서버가 패치 없이 인터넷에 노출되어 있습니다. TeamCity를 사용하는 조직은 즉시 최신 버전으로 업데이트하거나 외부 접근을 차단해야 합니다.
랜섬웨어 조직들이 JetBrains TeamCity의 심각한 인증 우회 취약점(CVE-2026-63077)을 실제 공격에 악용하고 있음이 확인됨. CISA가 수요일 KEV 목록을 업데이트하며 공식 경고.
인증 없이 원격에서 OS 명령 실행(RCE) 가능. CI/CD 빌드 데이터·자격증명 노출, 서버 상태 변조, 빌드 산출물 및 하위 파이프라인 전체 공급망 침해 위험. Citibank·Amazon Games·Tesla·Samsung 등 3만여 팀이 사용.
TeamCity 에이전트 폴링 프로토콜을 통한 인증 검사 우회를 허용하는 역직렬화(Deserialization) 취약점. 패치 전 버전의 HTTP(S) 접근만으로도 공격 가능.
JetBrains, 7월 25일 TeamCity On-Premises 2025.11.7 및 2026.1.3 버전에서 패치 배포. CISA, 8월 5일 KEV 등재 후 연방기관에 3일 내 조치 명령. JetBrains, 침해지표(IoC) 공유 및 즉시 패치가 불가한 경우 신뢰 네트워크로 접근 제한 권고.
인터넷에 노출된 TeamCity 서버는 즉시 패치 적용(2025.11.7 또는 2026.1.3 이상). 패치가 불가한 경우 외부 접근을 차단하고 신뢰 네트워크만 허용. JetBrains가 공개한 침해지표(IoC)로 기존 침해 여부 점검 필수.
본문
미국 사이버보안·인프라 보안국(CISA)은 수요일, 랜섬웨어 조직들이 7월에 패치된 심각한 JetBrains TeamCity 취약점을 현재 악용하고 있다고 연방기관에 경고했습니다.
JetBrains는 7월 25일, TeamCity On-Premises 버전 2025.11.7 및 2026.1.3에서 해당 보안 결함(CVE-2026-63077)을 패치했습니다. 이 취약점은 HTTP(S) 접근 권한을 가진 공격자가 임의의 운영체제 명령을 실행할 수 있는 심각한 인증 우회 취약점입니다.
"비인증 공격자는 TeamCity 에이전트 폴링 프로토콜을 통해 이 취약점을 악용함으로써 인증 검사를 우회하고, TeamCity 서버 프로세스의 권한으로 임의의 운영체제 명령을 실행할 수 있습니다."라고 JetBrains는 설명했습니다.
"TeamCity 서버 프로세스에 부여된 권한에 따라, 공격에 성공할 경우 TeamCity 데이터·설정·저장된 자격증명이 노출되고, 서버 상태가 변조될 수 있으며, 빌드 산출물 및 하위 CI/CD 파이프라인의 무결성이 침해될 수 있습니다."
약 2주 후인 8월 5일, CISA는 CVE-2026-63077을 실제 악용 취약점 카탈로그(KEV)에 추가하고, 미국 연방기관에 진행 중인 공격으로부터 네트워크를 3일 이내에 보호하도록 명령했습니다.
JetBrains는 8월 7일 해당 취약점이 실제로 악용되고 있음을 공식 확인하고, 침해지표(IoC)를 공유하며, 즉시 서버를 패치할 수 없는 고객에게 신뢰할 수 있는 네트워크로 접근을 제한하도록 촉구했습니다.
랜섬웨어 공격에 악용 중
CISA가 CVE-2026-63077을 대상으로 한 공격에 대한 구체적인 정보를 아직 공개하지 않은 가운데, 수요일 KEV 카탈로그를 재차 업데이트하며 해당 보안 취약점이 랜섬웨어 조직에 의해 악용되고 있음을 표시했습니다.
보안 위협 모니터링 기관 Shadowserver는 현재 CVE-2026-63077에 대해 패치되지 않은 TeamCity 서버 160여 대를 추적 중입니다. 이는 초기에 공격에 취약한 인터넷 노출 서버 700대에서 감소한 수치입니다.
인터넷에 노출된 패치 미적용 TeamCity 서버 (Shadowserver)
국가 지원 해킹 그룹과 랜섬웨어 조직들이 공격에 TeamCity 취약점을 자주 악용해 왔기 때문에, IT 관리자들은 인터넷에 노출된 서버에 즉시 패치를 적용할 것을 권고받고 있습니다.
예를 들어, 2024년 10월 미국과 영국 사이버 당국은 러시아 대외정보국(SVR)과 연계된 해킹 그룹 APT29가 취약한 JetBrains TeamCity 및 Zimbra 서버를 "대규모로" 표적 삼고 있다고 경고한 바 있습니다.
TeamCity는 소프트웨어 개발자와 DevOps 팀이 소프트웨어 코드의 빌드·테스트·배포를 자동화하는 데 사용하는 CI/CD(지속적 통합 및 배포) 플랫폼입니다.
JetBrains에 따르면, Citibank·Amazon Games·Tesla·Samsung 등 다수의 대형 기업을 포함해 30,000개 이상의 DevOps 팀이 TeamCity를 사용하고 있습니다.
AI 기반 공격에 대한 보안 청사진 구축
Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들이 함께하는 2시간짜리 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 중단해야 할 것은 무엇인지, 머신 속도로 검증·결정·수정·재검증하는 방법을 다룹니다.
자리를 예약하세요
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
