- JetBrains TeamCity 온프레미스 전체 버전에 영향을 미치는 인증 불필요 원격 코드 실행(RCE) 취약점 CVE-2026-63077이 CVSS 3.1 기준 9.8로 공개됨
- 사전 로그인 없이 임의 운영체제(OS) 명령을 실행할 수 있어 빌드 서버와 연동된 개발 파이프라인 전단이 위험에 노출됨
- 패치는 TeamCity 2025.11.7 및 2026.1.3에 적용되었으며, TeamCity Cloud 인스턴스는 영향이 없는 것으로 확인됨
빌드 서버는 코드와 배포 산출물의 신뢰 시작점이며, 인증 우회 RCE는 소프트웨어 공급망 침투의 주요 진입점으로 작용합니다.
2026년 7월 28일자로 공개된 보안 정보에 따르면 JetBrains TeamCity 온프레미스(On-Premises) 환경에서 사전 인증 없이 임의 코드를 실행할 수 있는 심각한 취약점이 발견되었습니다. 본문에서는 해당 취약점의 기술적 배경과 영향 범위를 정리하고, 현장에서 즉시 적용할 수 있는 패치와 점검 절차를 실무 관점에서 제시합니다.
결론: 개발 인프라 보안의 우선순위
TeamCity 같은 CI/CD(지속적 통합/지속적 배포) 서버는 단순한 빌드 자동화 도구를 넘어 개발 조직의 공급망 신뢰를 책임지는 핵심 자산입니다. 인증 단계가 없는 RCE는 침해 비용을 낮추는 동시에 사후 탐지를 어렵게 만들 수 있어, 패치 적용과 가시성 확보가 우선 과제가 됩니다.
TeamCity 인증 우회 RCE 취약점 CVE-2026-63077 개요
The Hacker News 기사(2026-07-28 08:11:22 UTC)에 따르면 CVE-2026-63077은 모든 TeamCity 온프레미스 버전에 영향을 미치는 인증 불필요(unauthenticated) RCE 취약점입니다. CVSS 3.1 기준 점수는 9.8로 평가되었으며, 공격자는 사전 로그인 절차 없이 임의 OS 명령을 실행할 수 있는 것으로 분석됩니다. 이는 단순한 정보 노출이 아니라 빌드 노드 자체의 장악으로 이어질 수 있는 심각한 등급의 결함입니다.
온프레미스 빌드 서버가 놓치기 쉬운 공격 표면
TeamCity는 사내 네트워크 또는 폐쇄망에 배포되는 경우가 많아 인터넷 노출 여부에 따라 위험이 다르다고 판단되기 쉽습니다. 그러나 빌드 에이전트가 패키지 저장소, 컨테이너 레지스트리, 배포 자동화 도구와 연동되는 구조에서는 내부 침해의 출발점이 될 수 있습니다. 또한 점검 누락으로 패치되지 않은 인스턴스가 장기 운영되는 사례가 적지 않아, 본 취약점은 노출 시점 이전부터 잠재적 위협으로 존재했을 가능성이 있습니다.
공격 시나리오: 사전 인증 없이 빌드 노드 장악
취약점의 영향이 사전 인증 RCE라는 점에서, 공격자는 계정 탈취나 피싱과 같은 사전 단계 없이 직접 빌드 서버로 요청을 전달하고 명령을 실행할 수 있습니다. 침해가 발생할 경우 빌드 캐시와 산출물 변조, 배포 스크립트 삽입, 자격 증명 노출이 연쇄적으로 발생할 수 있어, 단일 서버 침해가 전체 제품 출시 파이프라인의 신뢰 붕괴로 확산될 수 있습니다.
JetBrains 패치 버전과 적용 범위 분석
JetBrains는 TeamCity 2025.11.7 및 2026.1.3 버전을 통해 패치를 배포한 것으로 보고되었습니다. 영향 대상은 모든 온프레미스 인스턴스이며, TeamCloud 기반 인스턴스는 별도 영향이 없는 것으로 확인되었습니다. 따라서 온프레미스 운영 조직은 현재 실행 중인 빌드 버전을 즉시 식별하고 패치 적용 일정을 수립해야 합니다.
| 항목 | 상세 |
|---|---|
| CVE 번호 | CVE-2026-63077 |
| CVSS 3.1 점수 | 9.8 |
| 영향 대상 | 모든 TeamCity 온프레미스 버전 |
| 패치 버전 | 2025.11.7, 2026.1.3 |
| TeamCity Cloud | 별도 영향 없음(사전 조치 완료) |
| 공격 조건 | 사전 로그인 불필요 |
| 공개 및 패치 주체 | JetBrains |
CI/CD 공급망 침투 위험과 빌드 산출물 신뢰 붕괴
빌드 서버가 침해되면 산출된 아티팩트와 배포 패키지에 악성 코드가 포함될 수 있어, 하위 서비스와 고객 환경까지 위협이 전파될 수 있습니다. 이는 SolarWinds 사례에서 확인된 것처럼 빌드 단계의 침투가 가장 은밀하면서도 피해 규모가 큰 공급망 공격 경로로 활용될 수 있음을 시사합니다.
즉시 적용 가능한 핫픽스와 네트워크 분리 절차
1차 조치는 패치 버전(2025.11.7 또는 2026.1.3) 적용입니다. 그 외에는 빌드 서버를 인터넷에서 직접 노출하지 않고, 점프 호스트 또는 사설망으로만 접근하도록 네트워크 분리를 강화하는 것이 권고됩니다. 또한 빌드 에이전트와 외부 패키지 저장소 간 통신을 화이트리스트 기반으로 제한하고, 비정상 명령 실행 흔적을 모니터링하는 절차를 함께 적용할 필요가 있습니다.
권한 분리 및 토큰 회수로 권한 도용 차단
패치 적용 시점에는 빌드 서버에 저장된 API 토큰, 배포 키, 클라우드 자격 증명을 신규 발급하고 기존 값을 회수하는 작업이 병행되어야 합니다. 또한 빌드 작업과 배포 작업을 분리하고, 최소 권한 원칙에 따라 에이전트 권한을 재설정하여 침해 발생 시수평 이동(Lateral Movement) 범위를 제한해야 합니다.
취약점 점검 체크리스트와 자산 식별 방법
패치 적용 여부를 확인하기 위해 먼저 TeamCity 인스턴스의 정확한 빌드 버전을 식별해야 합니다. JetBrains TeamCity 공식 페이지의 릴리스 노트를 기준으로 2025.11.7 이전 버전을 사용하는 모든 온프레미스 인스턴스를 목록화하고, 패치 적용 우선순위를 결정합니다. 동시에 빌드 로그, 비정상 프로세스 실행, 미인가 사용자 세션을 검토해 침해 지표가 남아 있는지 확인하는 것이 바람직합니다.
장기적인 빌드 서버 보안 거버넌스 방향
일회성 패치에 그치지 않고 빌드 서버에 대한 정기 점검 주기를 수립하고, CVE 발행 시 영향 인스턴스를 자동으로 식별하는 체계를 마련해야 합니다. 또한 인증 강화, 네트워크 분리, 산출물 서명 검증, 침해 탐지 모니터링을 결합한 다층 방어 체계를 구축하는 것이 공급망 보안의 장기적인 방향으로 판단됩니다.
인가되지 않은 빌드 작업 모니터링과 침해 지표 추적
패치 적용 이후에도 빌드 작업 로그에서 인증되지 않은 호출, 비정상 빌드 정의 변경, 미인가 플러그인 설치 흔적을 지속적으로 모니터링해야 합니다. 이러한 침해 지표(IoC)를 조기에 탐지할 수 있도록 SIEM(보안 정보 및 이벤트 관리) 연동과 경보 규칙을 사전에 정의해 두는 것이 효과적입니다.
TeamCity 인증 우회 RCE는 빌드 서버 단일 취약점이 소프트웨어 공급망 전반의 신뢰를 위협할 수 있음을 다시 한번 확인시킵니다. 패치 적용을 1차 목표로 삼되, 네트워크 분리, 자격 증명 회수, 침해 지표 모니터링을 포함한 다층 대응 절차를 병행하는 것이 실무적인 최선의 대응으로 분석됩니다.
핵심 정리 포인트
- CVE-2026-63077은 CVSS 3.1 기준 9.8의 사전 인증 RCE로, 영향 범위는 모든 TeamCity 온프레미스 버전입니다.
- 패치는 2025.11.7 및 2026.1.3에 적용되었으며, TeamCity Cloud는 영향이 없는 것으로 확인됩니다.
- 즉시 패치 적용과 함께 네트워크 분리, 자격 증명 회수, 침해 지표 모니터링을 병행해야 합니다.
- 장기적으로는 정기 점검 주기와 산출물 서명 검증을 포함한 빌드 서버 보안 거버넌스 강화가 필요합니다.