JetBrains เตือน! พบช่องโหว่ระดับ Critical บน TeamCity ที่อาจทำให้แฮ็กเกอร์รันโค้ดที่เป็นอันตรายจากระยะไกลได้

JetBrains แจ้งเตือนถึงช่องโหว่ด้านความปลอดภัยระดับ critical ในการ bypass การยืนยันตัวตน ซึ่งส่งผลกระทบต่อระบบ TeamCity On-Premises โดยช่องโหว่นี้อาจถูกผู้ไม่หวังดีนำไปใช้เป็นช่องทางในการรันโค้ดอันตรายจากระยะไกล (Remote Code Execution: RCE) ได้

โดยช่องโหว่นี้มีหมายเลข CVE-2026-63077 ซึ่งเปิดโอกาสให้ผู้โจมตีที่สามารถเชื่อมต่อกับเซิร์ฟเวอร์ TeamCity ผ่าน HTTPS สามารถข้ามกระบวนการยืนยันตัวตนผ่าน Agent Polling Protocol และสั่งประมวลผลคำสั่ง OS Commands ใด ๆ ก็ตาม ด้วยระดับสิทธิ์การทำงานของ Server Process

JetBrains ระบุในแถลงการณ์ พร้อมชี้แจงเพิ่มเติมว่า "ช่องโหว่นี้ส่งผลกระทบต่อ TeamCity On-Premises ทุกเวอร์ชัน ในขณะที่ผู้ใช้บริการ TeamCity Cloud ไม่ได้รับผลกระทบ และไม่ต้องดำเนินการใด ๆ เนื่องจากระบบคลาวด์ได้รับการปรับปรุงมาตรการป้องกันเรียบร้อยแล้ว"

TeamCity คือระบบเซิร์ฟเวอร์ CI/CD ยอดนิยมในวงการนักพัฒนา เพื่อใช้สำหรับจัดการซอฟต์แวร์ตั้งแต่ขั้นตอนการสร้าง (Build) ทดสอบ (Test) ไปจนถึงการนำไปใช้งานจริง (Deploy)

Daniel Gallo หัวหน้าทีม Solutions Engineering จาก JetBrains ระบุว่า หากแฮ็กเกอร์เจาะช่องโหว่ CVE-2026-63077 ได้สำเร็จ อาจทำให้ข้อมูลสำคัญในระบบ TeamCity ไม่ว่าจะเป็นการตั้งค่าต่าง ๆ หรือรหัสผ่านที่บันทึกไว้รั่วไหลออกไป หรือร้ายแรงถึงขั้นทำให้ไฟล์ Build Artifacts และระบบ CI/CD Pipeline ถูกแทรกแซงจนพังเสียหายได้

แม้ว่าตอนที่ประกาศเตือน (27 กรกฎาคม 2026) จะยังไม่พบการโจมตีผ่านช่องโหว่นี้จริง แต่จากประวัติที่ผ่านมา ระบบ TeamCity มักตกเป็นเป้าหมายของกลุ่ม Ransomware และกลุ่มแฮ็กเกอร์ระดับชาติอยู่เสมอ ผู้ดูแลระบบจึงควรรีบแก้ไขช่องโหว่นี้ทันทีเพื่อป้องกันความเสี่ยง

แนวทางแก้ไข และคำแนะนำ

JetBrains ได้รับรายงานช่องโหว่นี้เป็นการภายในตั้งแต่ 10 กรกฎาคม และได้ออกอัปเดตแก้ไขใน TeamCity เวอร์ชัน 2025.11.7 และ 2026.1.3 เรียบร้อยแล้ว โดยทางค่ายแนะนำให้อัปเกรดเป็นเวอร์ชันเหล่านี้เป็นทางเลือกแรก

แต่หากองค์กรใดยังไม่พร้อมอัปเกรดระบบใหม่ทั้งหมดในตอนนี้ ก็สามารถติดตั้งปลั๊กอิน Security Patch เพื่อแก้ไขชั่วคราวไปก่อนได้ (รองรับตั้งแต่เวอร์ชัน 2017.1 ขึ้นไป)

โดยในเวอร์ชัน 2024.03 เป็นต้นไป ระบบจะดาวน์โหลดปลั๊กอินนี้ให้อัตโนมัติ และแจ้งเตือนให้ผู้ดูแลระบบกดติดตั้ง ส่วนใครที่ใช้เวอร์ชัน 2017.1 ถึง 2018.1 จะต้องรีสตาร์ตเซิร์ฟเวอร์หลังติดตั้งด้วย แพตช์ถึงจะทำงานอย่างสมบูรณ์

นอกจากนี้ JetBrains ยังเน้นย้ำเรื่องการรักษาความปลอดภัยพื้นฐาน โดยแนะนำว่าเซิร์ฟเวอร์ที่เชื่อมต่อกับอินเทอร์เน็ต ควรบังคับให้เข้าใช้งานผ่านช่องทางที่ปลอดภัยอย่าง VPN เท่านั้น เพราะแค่การปล่อยให้หน้า Login หรือ REST API เปิดเป็นสาธารณะ ก็อาจกลายเป็นช่องทางให้แฮ็กเกอร์เข้ามาเจาะระบบได้ตลอดเวลา

ที่มา : Bleepingcomputer