CVE-2026-63077: JetBrains TeamCity Deserialization of Untrusted Data Vulnerability

Severity: critical (CVSS 9.8 v3.1)
Exploited in the wild: yes — in CISA KEV since 2026-08-05
EPSS: 93.6% probability of exploitation in the next 30 days
Public exploit or detection template: yes
Published: 2026-07-27 · updated 2026-10-24
Weakness: CWE-502

Description

In JetBrains TeamCity before 2026.1.3, 2025.11.7 unauthenticated remote code execution was possible via the agent polling protocol

Summary

JetBrains TeamCity before 2025.11.7 and 2026.1.3 contains a deserialization flaw in the agent polling protocol that allows unauthenticated remote code execution (CVSS 9.8). Exploitation is active and the issue is listed in CISA's Known Exploited Vulnerabilities catalog, with a public exploit or detection template available and a 93.6% EPSS probability of exploitation within 30 days. Upgrade to 2025.11.7 or 2026.1.3, and if patching is not immediately possible, restrict network access to the TeamCity server and agent polling port and follow CISA BOD 26-04 guidance.

تحتوي JetBrains TeamCity قبل الإصدارين 2025.11.7 و2026.1.3 على ثغرة إزالة تسلسل في بروتوكول استطلاع الوكلاء تتيح تنفيذ تعليمات برمجية عن بُعد دون مصادقة (CVSS 9.8). الاستغلال نشط فعليًا، والثغرة مدرجة في كتالوج CISA للثغرات المعروفة بالاستغلال، مع وجود استغلال عام أو قالب كشف، واحتمال استغلال بنسبة 93.6% خلال 30 يومًا وفق EPSS. يجب الترقية إلى 2025.11.7 أو 2026.1.3، وإذا تعذّر الترقية الفوري فيُنصح بتقييد الوصول الشبكي إلى خادم TeamCity ومنفذ استطلاع الوكلاء واتباع إرشادات CISA BOD 26-04.

Affected products

JetBrains TeamCity: before 2025.11.7; from 2026.1 before 2026.1.3 — fixed in 2025.11.7, 2026.1.3

How to fix

Upgrade to a fixed version: JetBrains TeamCity 2025.11.7, 2026.1.3. Check the vendor advisory for mitigations.

References

Get alerted when CVE-2026-63077 or the next vulnerability affects your stack