JetBrains 警告 TeamCity On-Premises 存在严重认证绕过漏洞，可导致远程代码执行
据 BleepingComputer 于 2026 年 7 月 31 日报道，JetBrains 已发布安全警告，称其 TeamCity On-Premises 受到一个严重认证绕过漏洞影响。来源显示，攻击者可能利用该漏洞在未通过正常身份验证的情况下进一步实现远程代码执行。对于使用 TeamCity 进行持续集成、自动化构建与发布的企业和开发团队而言，这类漏洞的风险不仅停留在服务器本身，还可能波及代码仓库、构建凭据、部署密钥以及跨境协作账号体系。
漏洞涉及什么：TeamCity 本地部署环境成为重点风险点
TeamCity 是 JetBrains 旗下常见的 CI/CD 工具，许多团队会将其用于代码构建、测试、打包和发布流程。此次警告指向的是 TeamCity On-Premises，即由企业或团队自行部署和维护的版本。与云服务相比，本地部署环境通常暴露在企业内网、办公 VPN、跳板机或公网入口之后，安全配置差异较大。
来源摘要显示，该漏洞属于 认证绕过 类型，并可能被利用达成远程代码执行。认证绕过意味着攻击者有机会绕开原本应阻挡未授权访问的登录或权限检查；而远程代码执行则代表攻击者可能在目标系统上运行非授权代码。两者结合时，风险等级通常会显著升高，因为攻击链可能不再依赖合法账号密码。
目前可确认的信息是 JetBrains 已就该问题发出警告，具体受影响版本、修复方式和技术细节应以 JetBrains 官方安全公告为准。企业安全团队不应只等待外部扫描结果，而应主动核查自有 TeamCity 实例是否属于受影响范围。
对跨境团队的影响：账号、构建密钥和远程办公入口都需排查
从跨境业务角度看，TeamCity 往往连接多个关键系统：代码托管平台、制品仓库、云服务账号、容器镜像仓库、部署服务器和通知系统。如果 CI/CD 平台被入侵，攻击者可能借由构建流程接触敏感配置，甚至影响面向海外用户的应用发布链路。
对于拥有海外开发成员、外包团队或多地办公节点的企业，这类漏洞还会放大访问环境管理难度。部分团队会通过远程桌面、堡垒机、企业 VPN 或零信任网关访问内部 TeamCity。如果入口权限、网络分段和审计不足，一旦构建服务器被攻破，攻击面可能从单台系统扩散至更多内部资源。
跨境电商、SaaS、独立站和出海应用团队尤其需要注意：构建系统中常见的支付网关密钥、API Token、应用签名证书、环境变量和发布脚本，可能与海外平台账号和支付通道安全直接相关。CI/CD 不是普通后台系统，而是软件供应链的核心环节。
建议优先检查的事项
- 确认是否使用 TeamCity On-Premises，并核对 JetBrains 官方公告中的受影响范围。
- 尽快评估升级、补丁或临时缓解措施，避免将管理入口直接暴露在公网。
- 检查 TeamCity 访问日志、构建历史、插件变更、管理员账号和异常登录记录。
- 轮换可能存放在构建环境中的部署密钥、云服务 Token、代码仓库访问凭据和支付相关 API 密钥。
- 对跨境远程办公入口实施最小权限、网络分段和多因素认证，减少单点被突破后的横向移动风险。
访问环境与安全运维解读
许多团队在跨境办公时会把“能访问”放在首位，例如让海外成员通过固定线路、代理或 VPN 连接内部系统。但在此类高危漏洞面前，访问稳定性不能替代安全边界。合理的做法是将 TeamCity 等构建平台限制在可信网络内，并通过身份验证、设备状态、访问审计和权限分级共同控制风险。
如果团队使用 VPN，也应把它视为访问控制的一部分，而不是万能防护。攻击者一旦拿到可用入口或利用未修复漏洞，仍可能绕过常规账号管理。因此，企业需要同时关注版本更新、暴露面收敛、密钥管理和日志监控。
总体来看，JetBrains 此次警告提醒开发团队重新审视自建 CI/CD 的安全责任。对于跨境业务而言，构建服务器安全直接关系到账号资产、支付接口和线上服务连续性。在官方修复信息明确后，相关团队应尽快完成排查与加固，避免漏洞窗口期带来供应链层面的连锁风险。