攻击者借助未修补的 TeamCity 入侵 JetBrains Cadence，窃取 AWS 凭据

JetBrains 正在敦促 Cadence 用户撤销并轮换所有凭据，此前上个月发生了一起安全事件——身份不明的威胁行为者利用 TeamCity 中一个近期披露的关键漏洞入侵了其自身环境。

"Cadence 用户应立即撤销或轮换所有可能用于运行其 Cadence 执行的凭据和密钥，"JetBrains 表示。"他们还应将 Cadence 项目中的所有执行（包括其输入和输出）视为潜在不可信。"

"由于威胁行为者获得了对 Cadence 服务器的访问权限，因此存储在 Cadence 中、包含在受损备份中或提供给受影响服务器上执行的任何凭据或密钥，都应视为已泄露，必须予以撤销或轮换。"

Cadence 是 JetBrains 托管的云计算服务，通过一个可选插件与 PyCharm 集成，让开发者可以直接从其 IDE 在云端 GPU 上运行机器学习和繁重工作负载。

据这家软件开发公司称，此次攻击涉及利用 CVE-2026-63077（CVSS 评分：9.8）入侵受影响的 Cadence 环境。该不可信数据反序列化漏洞可允许能够访问 TeamCity 服务器的未认证攻击者绕过身份验证检查，并以 TeamCity 服务器进程的权限执行任意操作系统命令。

此后，该安全漏洞已在野外遭到积极利用，美国网络安全和基础设施安全局（CISA）已于 2026 年 8 月 5 日将其添加到已知被利用漏洞（KEV）目录中。JetBrains 于 2026 年 8 月 23 日发现了该利用行为。

在后续更新中，JetBrains 表示威胁行为者访问了 2024 年 Cadence 服务器备份中包含的数据，并获得了未经授权的访问权限，这可能使其能够访问包含与当前 Cadence 用户相关数据的存储，包括电子邮件地址、项目源代码和凭据。

"这影响到我们之前直接联系过的同一批用户，"JetBrains 解决方案工程主管 Daniel Gallo 表示。"这些发现未识别出任何其他受影响的用户。作为预防措施，我们将存储在那里的数据视为可能已暴露。"

威胁行为者已被"确认"访问或入侵的部分信息——

• 个人数据，包括用户名、真实姓名、电子邮件地址、最后登录时间戳和最后访问的 IP 地址
• 一份可追溯至 2024 年的 Cadence 服务器完整备份，其中包含凭据、配置、工件、日志或其他数据
• 从 2024 年备份中提取的多个 AWS IAM 用户及其相关凭据/密钥，包括属于使用该服务的 JetBrains 员工的 IAM 用户
• 存储在 JetBrains AWS 账户内由 Cadence 使用的 S3 存储桶中的文件

JetBrains 还警告称，攻击者可能访问了从 PyCharm 项目同步到受影响服务器的源代码。这涵盖了用户依赖 PyCharm 上传或同步项目文件以在 Cadence 中执行的情况，意味着这些操作可能无意中暴露了代码、凭据或配置。

目前尚不清楚谁在幕后策划了这一活动。然而，JetBrains 表示入侵发生在 2026 年 8 月 8 日至 24 日之间。被利用的 Cadence 服务器（"api.cadence.jetbrains.com"）此后已下线。该公司承认，该服务器本应作为其自身漏洞响应工作的一部分进行修补，但未分享任何关于为何未修补的细节。

JetBrains 还已使 PyCharm 中 JetBrains Cadence 插件用于连接 Cadence 的所有访问令牌失效。它分享了以下入侵指标——

• 自 2026 年 8 月 8 日起发生的活动，特别是使用先前存储在 Cadence 中或可通过 Cadence 访问的凭据进行的身份验证或活动
  与观察到的利用活动相关的 IP 地址：
• 150.109.230.104
• 43.153.227.206
• 62.210.127.48
• 210.247.242.190
• 15.235.225.205
• 152.233.30.18
• 来自意外 IP 地址或位置的认证或其他活动
• 意外的存储库克隆或下载，以及对存储库的意外提交
• 对存储库密钥、Webhook、协作者或权限的更改
• 外部服务中新增或修改的个人访问令牌、API 令牌或 SSH 密钥
• 在外部服务中创建的新服务账户
• 对云 IAM 角色、策略或权限的意外更改
• 对云存储的意外访问，包括 AWS 和 Google Cloud 等服务中的 S3 存储桶和对象
• 软件包或版本的意外发布或修改

除了轮换所有凭据外，用户还被要求审查连接系统是否存在可疑活动，特别是 AWS 账户、S3 存储桶、部署环境、软件包/容器注册表以及其他可使用已撤销凭据访问的系统，审计源代码存储库在该时间段内是否有任何未经授权的更改，并将所有执行视为潜在不可信。

"个人数据暴露的可能后果包括：利用受影响姓名和电子邮件地址进行的针对性钓鱼、社会工程学攻击、冒充以及其他未经请求或恶意通信的风险增加，"JetBrains 表示。