Αν η ομάδα σου τρέχει TeamCity σε δικό της server, το πρώτο πράγμα που πρέπει να κάνεις σήμερα είναι απλό: έλεγξε την έκδοση και αναβάθμισε αμέσως. Μια κρίσιμη ευπάθεια στο TeamCity On-Premises μπορεί να δώσει σε επιτιθέμενο τη δυνατότητα να εκτελέσει εντολές στο λειτουργικό σύστημα χωρίς καν να συνδεθεί. Σε περιβάλλον CI/CD αυτό δεν είναι θεωρητικό ρίσκο. Είναι το είδος του κενού που μπορεί να ανοίξει δρόμο για κλοπή κωδικών, πρόσβαση σε build secrets, αλλοίωση κώδικα και, σε μικρές επιχειρήσεις, διακοπή παραγωγής.
Το πρόβλημα αφορά εγκαταστάσεις που φιλοξενούνται τοπικά, όχι το TeamCity Cloud. Η JetBrains έχει ήδη δώσει διορθώσεις στις εκδόσεις 2025.11.7 και 2026.1.3, άρα αν μένεις σε παλιότερη έκδοση, δεν μιλάμε για «κάποια στιγμή». Μιλάμε για άμεση ενέργεια. Όσο πιο πολύ μένει ένα build server εκτεθειμένο στο internet ή στο εταιρικό δίκτυο χωρίς ενημέρωση, τόσο πιο κοντά είναι στο να γίνει το πρώτο βήμα μιας ευρύτερης επίθεσης.
TL;DR: Αν χρησιμοποιείς TeamCity on-prem, αναβάθμισε τώρα. Αν δεν μπορείς άμεσα, απομόνωσε το σύστημα, περιόρισε πρόσβαση και έλεγξε για ύποπτα logs, tokens και αλλαγές σε build configurations.
Ποιοι κινδυνεύουν περισσότερο από αυτό το κενό
Η ευπάθεια δεν αφορά μόνο μεγάλες εταιρείες με development ομάδες. Αγγίζει και μικρά software houses, e-shops που τρέχουν εσωτερικά pipelines, startups, agencies και γενικά κάθε επιχείρηση που χρησιμοποιεί TeamCity για builds, tests ή deployment. Αν στο TeamCity υπάρχουν αποθηκευμένα credentials για GitHub, GitLab, cloud providers, S3 buckets ή deployment servers, το ρίσκο ανεβαίνει απότομα.
Το ίδιο ισχύει και για περιβάλλοντα που έχουν συνδεθεί με VPN, εσωτερικά δίκτυα ή shared admin accounts. Εκεί, μια εκτέλεση εντολής στο λειτουργικό μπορεί να γίνει αφετηρία για lateral movement, δηλαδή για κίνηση σε άλλα συστήματα της επιχείρησης. Με απλά λόγια: δεν χτυπά μόνο το build server, αλλά μπορεί να ανοίξει πόρτες και αλλού.
Οι άμεσες κινήσεις που αξίζει να κάνεις σήμερα
Ξεκίνα από τον έλεγχο έκδοσης. Αν η εγκατάσταση είναι TeamCity On-Premises και δεν τρέχει 2025.11.7 ή 2026.1.3, βάλε την αναβάθμιση στην κορυφή της λίστας. Αν δεν μπορείς να κάνεις update άμεσα επειδή φοβάσαι διακοπή, προτεραιότητα έχει να μειώσεις το exposure: κλείσε την πρόσβαση από το internet, βάλε το σύστημα πίσω από firewall, περιόρισε το admin interface μόνο σε συγκεκριμένες IP και βεβαιώσου ότι δεν είναι προσβάσιμο από δημόσιο Wi‑Fi, shared VPN ή ανοιχτά reverse proxies.
Μετά, έλεγξε ό,τι μπορεί να έχει διαρρεύσει αν κάποιος είχε ήδη πρόσβαση. Αλλάζεις διαχειριστικά passwords, ρίχνεις μια ματιά σε API tokens, Git credentials, SSH keys και cloud keys που είναι αποθηκευμένα στο TeamCity. Αν χρησιμοποιείς 2FA στο admin account, κράτα το ενεργό και βεβαιώσου ότι δεν υπάρχουν παλιές, αδρανείς admin προσβάσεις που ξεχάστηκαν από προηγούμενους συνεργάτες ή vendors.
Ένα ακόμη πρακτικό βήμα είναι να δεις τα logs για ασυνήθιστες ενέργειες: νέες build configurations, αλλαγές σε steps, παράξενες εκτελέσεις scripts, περίεργες συνδέσεις από άγνωστες IP ή προσπάθειες πρόσβασης σε endpoints διαχείρισης. Αν η ομάδα σου έχει μικρή εμπειρία σε incident response, βγάλε αμέσως offline το instance και μίλα με τον πάροχο hosting ή τον sysadmin πριν πειραματιστείς.
Γιατί τα build servers έγιναν αγαπημένος στόχος
Τα εργαλεία CI/CD έχουν κάτι που οι επιτιθέμενοι λατρεύουν: συγκεντρώνουν πολλά κρίσιμα μυστικά σε ένα σημείο. Εκεί βρίσκεις κωδικούς για repositories, deployment pipelines, Docker registries, cloud projects, ακόμη και production environments. Αν κάποιος μπει σε αυτό το σημείο, δεν χρειάζεται να σπάσει ξεχωριστά κάθε σύστημα. Παίρνει διαδρομές έτοιμες.
Γι’ αυτό τέτοιες ευπάθειες δεν είναι απλώς «bug σε software». Είναι πρόβλημα που μπορεί να καταλήξει σε παραβίαση λογαριασμών, σε καταστροφή builds, σε κακόβουλη εισαγωγή κώδικα ή σε καμπάνια phishing με κλεμμένα εταιρικά στοιχεία. Για μια μικρή επιχείρηση στην Ελλάδα, αυτό μπορεί να σημαίνει downtime σε ένα e-shop, καθυστερήσεις σε πελατειακά έργα ή και απώλεια εμπιστοσύνης από συνεργάτες.
Τι να βάλεις στη ρουτίνα ασφαλείας σου μετά το update
Μετά την αναβάθμιση, μην σταματήσεις εκεί. Βάλε το TeamCity σε αυστηρότερη καθημερινή υγιεινή ασφάλειας: λιγότεροι admin χρήστες, ξεχωριστοί λογαριασμοί για κάθε άνθρωπο, υποχρεωτικό 2FA όπου γίνεται, τακτική εναλλαγή tokens και αποθήκευση μυστικών σε secret manager αντί για πρόχειρα scripts. Αν η ομάδα σου χρησιμοποιεί GitHub ή GitLab, έλεγξε και εκεί τα permissions, γιατί ένα αδύναμο repo access μπορεί να ακυρώσει όλη την προσπάθεια.
Χρήσιμο είναι επίσης να περιορίσεις το attack surface του ίδιου του server. Καμία υπηρεσία που δεν χρειάζεται να είναι ανοιχτή δεν πρέπει να μένει ενεργή. Κάθε παλιό plugin, κάθε ξεχασμένο integration και κάθε test account είναι μια πιθανή πόρτα. Σε μικρές ομάδες, αυτά συχνά τα ξεχνάμε γιατί «δουλεύουν όλα». Μέχρι τη στιγμή που δεν δουλεύουν.
Αν θέλεις ένα πρακτικό κανόνα: κάθε κρίσιμο εργαλείο που χειρίζεται κώδικα, build artifacts ή credentials πρέπει να αντιμετωπίζεται σαν σύστημα παραγωγής, όχι σαν βοηθητικό εργαλείο. Το TeamCity μπαίνει ακριβώς σε αυτή την κατηγορία.
