La violazione di JetBrains Cadence ha esposto le credenziali AWS tramite TeamCity

JetBrains sta dicendo agli utenti del suo servizio cloud Cadence di revocare e ruotare tutte le credenziali dopo un incidente di sicurezza in cui gli attaccanti hanno sfruttato una vulnerabilità critica in un server TeamCity non aggiornato per entrare nell'ambiente dell'azienda stessa. La falla, tracciata come CVE-2026-63077, ha il punteggio di gravità più alto di 9,8 sulla scala CVSS, che misura quanto sia pericolosa una vulnerabilità, con 10 come massima gravità. Cadence è un servizio di cloud computing ospitato da JetBrains che consente agli sviluppatori di eseguire machine learning e altri carichi di lavoro pesanti su unità di elaborazione grafica (GPU) cloud direttamente dall'editor di codice PyCharm tramite un plugin opzionale.

La vulnerabilità è un problema di deserializzazione di dati non attendibili. In termini semplici, consente a un attaccante che può raggiungere un server TeamCity di bypassare i normali controlli di accesso ed eseguire comandi del sistema operativo con gli stessi privilegi del processo del server TeamCity. La Cybersecurity and Infrastructure Security Agency degli Stati Uniti ha aggiunto CVE-2026-63077 al suo catalogo Known Exploited Vulnerabilities il 5 agosto 2026, il che significa che il bug è noto per essere sfruttato attivamente in attacchi reali. JetBrains afferma di aver scoperto questo specifico sfruttamento il 23 agosto 2026. L'intrusione è avvenuta tra l'8 e il 24 agosto 2026. Il server Cadence interessato, api.cadence.jetbrains.com, è stato successivamente messo offline. JetBrains ha anche riconosciuto che il server avrebbe dovuto essere aggiornato come parte del proprio lavoro di risposta alle vulnerabilità, ma l'azienda non ha spiegato perché ciò non sia accaduto.

Secondo JetBrains, l'attaccante ha raggiunto un backup completo del server Cadence del 2024. Quel backup conteneva credenziali, configurazione, artefatti, log e altri dati. JetBrains ha anche confermato che l'attaccante ha avuto accesso a più utenti AWS IAM e alle relative credenziali e segreti estratti dal backup, inclusi utenti IAM appartenenti a dipendenti JetBrains che utilizzavano il servizio. AWS IAM è il sistema di Identity and Access Management di Amazon Web Services, che controlla chi può utilizzare le risorse cloud. L'attaccante ha anche raggiunto file memorizzati in bucket S3 all'interno degli account AWS di JetBrains utilizzati da Cadence. I bucket S3 sono un tipo comune di contenitore di archiviazione cloud su Amazon Web Services. I dati personali confermati come accessibili includono nomi utente, nomi reali, indirizzi email, timestamp dell'ultimo accesso e indirizzi IP dell'ultimo accesso. JetBrains ha dichiarato che l'attaccante potrebbe aver anche raggiunto codice sorgente sincronizzato da progetti PyCharm al server interessato, il che significa che codice, credenziali o configurazioni caricati o sincronizzati per l'esecuzione in Cadence potrebbero essere stati esposti. Daniel Gallo, Solutions Engineering Lead di JetBrains, ha affermato che i risultati riguardano lo stesso gruppo di utenti contattati direttamente in precedenza e non sono stati identificati ulteriori utenti interessati, ma l'azienda sta trattando i dati memorizzati come potenzialmente esposti.

JetBrains ha invalidato tutti i token di accesso utilizzati dal plugin Cadence in PyCharm per connettersi al servizio. L'azienda ha anche condiviso un elenco di indicatori di compromissione. Questi includono attività dal 8 agosto 2026 in poi che utilizzano credenziali precedentemente memorizzate o accessibili tramite Cadence, connessioni da indirizzi IP specifici come 150.109.230.104, 43.153.227.206, 62.210.127.48, 210.247.242.190, 15.235.225.205 e 152.233.30.18, autenticazione da posizioni inaspettate, clonazioni o download di repository inaspettati, modifiche a segreti o permessi di repository, token di accesso o chiavi SSH nuovi o modificati, nuovi account di servizio, modifiche inaspettate a ruoli o policy IAM cloud e accesso inaspettato all'archiviazione cloud. JetBrains chiede agli utenti non solo di ruotare le credenziali ma anche di rivedere i sistemi collegati come account AWS, bucket S3, ambienti di distribuzione e registri di pacchetti, controllare i repository di codice sorgente per modifiche non autorizzate e trattare tutte le esecuzioni di Cadence come potenzialmente non attendibili. L'azienda avverte che le probabili conseguenze dell'esposizione dei dati personali includono phishing mirato, ingegneria sociale, impersonificazione e altre comunicazioni non richieste o dannose.

Per i proprietari di siti web e i team IT, questo incidente è un promemoria che un singolo server non aggiornato può esporre non solo un account ma un intero ambiente cloud, incluse le credenziali che concedono accesso all'archiviazione e al codice sorgente. Per i team che eseguono carichi di lavoro cloud e devono controllare chi può accedere a cosa, una consulenza IT e infrastrutturale incentrata sulla sicurezza come AEU-I può fornire una seconda occhiata pratica alle impostazioni di identità cloud e alla gestione delle credenziali. JetBrains non ha detto chi sia dietro l'attacco.