Una brecha en JetBrains expone datos de usuarios tras no parchear su propia falla en TeamCity

JetBrains reveló el 29 de agosto de 2026 que atacantes vulneraron su servicio de desarrollo en la nube Cadence explotando una vulnerabilidad crítica en su propio software de integración continua TeamCity — una falla que la propia JetBrains ya había parcheado y divulgado públicamente un mes antes, pero que no había aplicado al servidor afectado.

Qué ocurrió

Los atacantes explotaron CVE-2026-63077, una vulnerabilidad de TeamCity divulgada en julio de 2026 que permite a un atacante no autenticado ejecutar comandos del sistema operativo en un servidor vulnerable. JetBrains identificó actividad maliciosa desde el 8 de agosto de 2026, pero no descubrió la explotación hasta el 23 de agosto. Al día siguiente puso fuera de línea el servidor afectado.

"El servidor debería haberse parcheado como parte de nuestra respuesta a la vulnerabilidad, pero no fue así", dijo JetBrains en su comunicado. "Pedimos sinceras disculpas por este fallo y su impacto."

Qué se expuso

Los atacantes extrajeron información personal que incluye nombres de usuario, nombres reales, direcciones de correo electrónico, marcas de tiempo del último inicio de sesión y direcciones IP. JetBrains también confirmó que se comprometió una copia de seguridad completa del servidor Cadence de 2024.

Por qué importa más allá de JetBrains

TeamCity es una de las herramientas de CI/CD más utilizadas en el desarrollo de software empresarial. CVE-2026-63077 afecta ampliamente a las instalaciones de TeamCity On-Premises, lo que significa que cualquier organización con un servidor sin parchear expuesto a internet era vulnerable al mismo ataque.

Qué deben hacer los desarrolladores afectados

Cualquiera que haya usado Cadence entre el 8 y el 24 de agosto de 2026 debe rotar sus claves de API y credenciales. Las organizaciones con servidores TeamCity autoalojados deben confirmar de inmediato que aplicaron el parche de CVE-2026-63077.

Basado en la divulgación oficial de seguridad de JetBrains y el reporte de ADTmag.