젯브레인즈의 소프트웨어 빌드·배포 도구인 팀시티(TeamCity)에서 로그인 없이도 서버를 원격 조작할 수 있는 치명적 취약점(CVE-2026-63077)이 발견됐으며, 실제 랜섬웨어 공격에 사용되고 있는 것이 확인됐습니다. 미국 사이버보안 당국(CISA)은 이 취약점을 '실제 악용이 확인된 목록'에 등재했고, 랜섬웨어 연계 공격으로도 분류했습니다. 서버가 침해되면 저장된 계정 정보, 소스코드, 클라우드 자격증명까지 모두 유출될 수 있어 공급망 전반에 걸친 피해로 이어질 수 있습니다. 젯브레인즈는 7월에 수정 버전을 배포했으며, 즉시 업데이트하거나 외부 접속을 차단해야 합니다. 이미 서버가 외부에 노출되어 있었다면 패치 후에도 침해 여부를 반드시 별도로 조사해야 합니다.
JetBrains TeamCity의 역직렬화(Deserialization) 취약점 CVE-2026-63077이 랜섬웨어를 포함한 실제 공격에 악용되고 있음이 확인됐다. 젯브레인즈의 클라우드 서비스 캐던스(Cadence)도 이 취약점으로 침해돼 이용자 개인정보와 AWS 자격증명이 유출됐다.
인증 우회를 통해 공격자가 원격에서 서버 명령을 실행할 수 있으며, 저장된 계정정보·소스코드·빌드 산출물·클라우드 자격증명이 모두 탈취 위험에 처한다. 빌드 파이프라인을 통한 공급망 공격으로 확대될 수 있다.
팀시티 서버와 빌드 에이전트(빌드 작업용 프로그램) 간 통신 과정에서 신뢰할 수 없는 데이터를 역직렬화하는 취약점이 원인이다. 외부에서 웹으로 접근 가능한 서버는 인증 없이 즉시 공격 대상이 된다.
젯브레인즈는 2025.11.7 및 2026.1.3 버전(이상)으로 업데이트할 것을 권고한다. 즉시 업그레이드가 불가능한 경우 보안 패치 플러그인을 적용하고 외부 접속을 차단해야 한다.
패치만으로 점검을 끝내서는 안 된다. 이미 외부에 노출된 서버는 서버 로그와 무단 에이전트 등록 여부를 조사하고, 침해가 의심되면 소스 저장소·배포 시스템·클라우드에 연결된 자격증명을 즉시 교체해야 한다.
본문
젯브레인즈의 빌드·배포 도구 '팀시티(TeamCity)'에서 발견된 치명적 취약점이 랜섬웨어 공격에 사용되고 있다. 미국 사이버보안·인프라보안국(CISA)은 CVE-2026-63077을 이미 악용 중인 취약점으로 등록한 데 이어, 랜섬웨어 공격에도 사용되는 것으로 분류했다. 어느 조직이 어떤 공격에 활용했는지는 공개하지 않았다.
취약점은 기업이 자체 서버에 설치해 운영하는 팀시티에 영향을 준다. 공격자가 취약한 서버에 웹으로 접근할 수 있다면 로그인 없이 인증을 우회해 서버에서 명령을 실행할 수 있다. 젯브레인즈는 팀시티 서버와 빌드 작업용 프로그램(에이전트)이 통신하는 과정이 공격 경로라고 설명했다.
팀시티는 소스코드를 가져와 프로그램을 만들고 배포하는 과정에 사용된다. 따라서 서버가 뚫리면 저장된 계정정보와 설정이 노출되고, 빌드 결과물이나 이후 배포 과정까지 영향을 받을 수 있다. 젯브레인즈는 7월 수정 버전을 내놓았고, 8월에는 패치하지 않은 서버를 겨냥한 실제 공격과 공격 시도가 보고됐다고 밝혔다. 이번 CISA의 분류 변경은 그 악용 사례 중 랜섬웨어 공격과의 연관성이 확인됐다는 점에서 주목된다.
실제 침해 사례도 있다. 젯브레인즈는 자사가 운영하던 클라우드 개발 서비스 '캐던스(Cadence)'가 이 취약점을 통해 침해됐다고 밝혔다. 조사 결과 이용자 개인정보가 유출됐고, 2024년 서버 백업과 그 안에 있던 여러 아마존웹서비스(Amazon Web Services) 계정의 자격증명·비밀정보가 침해된 것으로 확인됐다. 다만 젯브레인즈는 캐던스 침해를 랜섬웨어 공격으로 발표하지 않았다. 두 사례를 동일한 공격으로 볼 근거는 없다.
국내 팀시티 사용 조직은 외부에서 서버에 접근할 수 있는지와 설치 버전을 즉시 확인해야 한다. 젯브레인즈는 취약점을 수정한 2025.11.7 또는 2026.1.3 버전과 각 계열의 후속 버전으로 업데이트하도록 권고한다. 당장 업그레이드할 수 없다면 제공된 보안 패치 플러그인을 적용하고, 조치 전까지 외부 접속을 제한해야 한다.
이미 취약한 서버가 노출돼 있었다면 패치만으로 점검을 끝내서는 안 된다. 서버 기록과 승인되지 않은 빌드 에이전트 등록 여부를 조사하고, 침해가 의심되면 소스 저장소·배포 시스템·클라우드에 연결된 자격증명을 교체해야 한다고 전문가들은 권고한다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
