JetBrains сообщила о взломе Cadence через непропатченный TeamCity
Злоумышленники получили доступ к резервной копии сервера Cadence за 2024 год и данным, которые могли включать учётные данные AWS, исходный код и персональную информацию пользователей. Компания отключила затронутый сервер и отозвала токены плагина Cadence для PyCharm.
JetBrains призвала пользователей облачного сервиса Cadence немедленно отозвать или сменить все учётные данные и секреты, которые применялись при запуске задач в сервисе. Причиной стал инцидент в августе: злоумышленники воспользовались критической уязвимостью TeamCity CVE-2026-63077 на сервере JetBrains, который должен был быть обновлён в рамках процедуры устранения уязвимостей компании.
Cadence — облачный сервис JetBrains для запуска задач машинного обучения и других ресурсоёмких вычислений на GPU; он подключается к PyCharm через дополнительный плагин. Уязвимость CVE-2026-63077 получила оценку CVSS 9,8: она связана с небезопасной десериализацией данных и позволяет неаутентифицированному атакующему обходить проверку доступа и выполнять команды ОС с правами процесса TeamCity. По данным источника, CISA внесло эту проблему в каталог известных эксплуатируемых уязвимостей 5 августа 2026 года.
JetBrains обнаружила эксплуатацию 23 августа. По её оценке, несанкционированный доступ к инфраструктуре продолжался с 8 по 24 августа. Атакующие получили доступ к резервной копии сервера Cadence, созданной в 2024 году. В ней могли находиться учётные данные, конфигурации, артефакты и журналы, а также другие данные сервиса. Компания также подтвердила извлечение нескольких пользователей AWS IAM и связанных с ними секретов, использовавшихся Cadence, включая учётные записи сотрудников JetBrains.
Кроме того, злоумышленники могли получить доступ к хранилищу с данными действующих пользователей Cadence: адресами электронной почты, исходным кодом проектов и учётными данными. В зону риска попали и файлы, которые разработчики синхронизировали из PyCharm с сервером Cadence для выполнения задач. Среди подтверждённо затронутых персональных данных JetBrains называет имена пользователей, настоящие имена, e-mail, время последнего входа и IP-адреса последнего доступа.
Сервер api.cadence.jetbrains.com отключён. JetBrains отозвала все токены доступа, которыми плагин Cadence в PyCharm подключался к сервису. Компания рекомендует проверить AWS-аккаунты, S3-бакеты, среды развёртывания и реестры пакетов и контейнеров на подозрительную активность, а также провести аудит репозиториев и облачных настроек доступа на предмет несанкционированных изменений. Пользователям также предложено считать все выполненные в затронутом сервисе задачи, их входные данные и результаты потенциально недоверенными.