TeamCity entrou no KEV: corrigir não basta para declarar o risco fechado

Primeira hora: provar presença e reduzir exposição sem destruir evidência

Congele a discussão no identificador correto: CVE-2026-63077. O NVD descreve execução remota sem autenticação através do protocolo de polling de agentes em TeamCity anterior a 2025.11.7 e em 2026.1 anterior a 2026.1.3. A CISA incluiu-a no KEV em 5 de agosto. O campo de ransomware permanece desconhecido no feed; não invente uma campanha nem espere por atribuição para agir.

Identifique servidores, versão real, topologia, exposição à Internet, proxies, agentes, integrações e responsáveis. Restrinja acesso e preserve snapshots, logs de aplicação, proxy, sistema, identidade e rede antes de reiniciar ou limpar. Se o inventário disser que não existe TeamCity, procure imagens, hosts desligados, serviços geridos e ambientes de recuperação antes de fechar como não aplicável.

• Abra um incidente com hora, dono e escopo.
• Preserve evidência antes de ações que rodam ou eliminam logs.
• Isole o serviço exposto quando a atualização imediata não for segura.
• Não use um scanner externo como única prova de ausência.

Atualizar, tratar segredos e investigar como etapas separadas

Siga a mitigação ou atualização publicada pelo fornecedor através dos canais oficiais da organização. Confirme a versão a partir do serviço em execução, não apenas do pacote instalado. Depois execute um teste funcional controlado: filas, agentes, builds, artefactos, webhooks e permissões. Guarde versão anterior, versão nova, hora, hash do artefacto, operador, resultado e rollback.

TeamCity pode alcançar repositórios, runners, registries, cloud, gestores de segredos e ambientes de deploy. Mapeie tokens e chaves que o servidor ou os seus agentes podiam ler e rode os que tenham exposição plausível, por prioridade. Procure novas contas, chaves, agentes, builds, plugins, tarefas agendadas, alterações de configuração, acessos incomuns e transferências. Atualizar fecha a falha; não apaga uma eventual persistência.

A decisão de risco precisa de três estados, não de um visto verde

Use estados separados: não aplicável com prova; mitigado e em investigação; fechado com evidência. Se logs não cobrem o período relevante, escreva a lacuna e aplique uma decisão de risco explícita, como rotação alargada, rebuild, monitorização reforçada ou contenção prolongada. A ausência de alerta não é prova de ausência quando a telemetria não existia.

Comunique factos: identificador, ativos, versões, exposição, ações, evidência preservada, achados e próxima hora de decisão. Evite afirmar que a CISA confirmou ransomware quando o campo está desconhecido. Evite também apresentar o prazo federal como obrigação europeia; a urgência decorre da exploração conhecida e do impacto possível.

• Mantenha jurídico e proteção de dados informados se houver indícios de acesso.
• Valide dependências downstream depois da rotação.
• Observe agentes e builds após retorno.
• Faça retrospectiva do motivo pelo qual o KEV não encontrou automaticamente o ativo.