JetBrains bestätigte, dass der Cadence-Dienst nach Ausnutzung der kritischen Schwachstelle CVE-2026-63077 in TeamCity kompromittiert wurde. TeamCity ist die Plattform, die Cadence zur Orchestrierung von Workloads verwendet. Cadence ermöglicht über ein optionales Plugin in PyCharm die Ausführung von Projekten auf Cloud-Computing-Ressourcen. Dadurch betrifft der Vorfall nicht nur Dienstkonten, sondern auch die Systeme und Zugangsdaten, die Nutzer mit den Ausführungsumgebungen verbinden.
Nach dem letzten von JetBrains am 28. August 2026 um 11:50 Uhr mitteleuropäischer Zeit veröffentlichten Update war der Server api.cadence.jetbrains.com betroffen. Der betroffene Zeitraum erstreckt sich vom 8. bis zum 24. August 2026. Das Unternehmen stellte die Ausnutzung am 23. August fest und nahm den Server am 24. August während der laufenden Untersuchung außer Betrieb.
Welche Daten und Systeme waren gefährdet?
JetBrains erklärte, dass die Angreifer auf personenbezogene Daten zugreifen und diese extrahieren konnten. Dazu gehören Benutzernamen, echte Namen, E-Mail-Adressen, Zeitpunkte der letzten Anmeldung und die bei der letzten Anmeldung verwendeten IP-Adressen. Dies kann die Risiken gezielter Phishing-Angriffe, von Social Engineering und Identitätsdiebstahl erhöhen.
Das Unternehmen bestätigte außerdem, dass eine vollständige Sicherung des Cadence-Servers aus dem Jahr 2024 kompromittiert wurde. Diese Sicherung enthält laut JetBrains Zugangsdaten, Konfigurationen, aus der Ausführung hervorgegangene Dateien sowie Protokolle oder andere Daten. Daher sollte sie als potenziell offengelegt betrachtet werden. Der Vorfall betraf außerdem mehrere AWS-IAM-Nutzer sowie die mit ihnen verbundenen Zugangsdaten und Geheimnisse, darunter Konten von JetBrains-Mitarbeitern, die den Dienst nutzten, sowie Dateien, die in S3-Buckets innerhalb von AWS-Konten des Unternehmens gespeichert waren.
JetBrains ermittelt weiterhin den vollständigen Umfang der abgerufenen Daten und weiß derzeit nicht, ob die Angreifer auf Speicher-Buckets im Besitz von Kunden zugegriffen haben. Nutzer, die Cadence für den Zugriff auf ihre eigenen Buckets konfiguriert haben, sollten jedoch davon ausgehen, dass die für diese Verbindung verwendeten Zugangsdaten möglicherweise kompromittiert wurden.
Erforderliche Maßnahmen für Cadence-Nutzer
- Alle Zugangsdaten und Geheimnisse widerrufen und anschließend rotieren, die möglicherweise zur Ausführung von Cadence-Prozessen verwendet wurden.
- AWS-Konten, S3-Buckets, Bereitstellungsumgebungen, Paket-Repositories und Container auf ungewöhnliche Aktivitäten überprüfen.
- Code-Repositories auf unbefugtes Klonen, Herunterladen oder Änderungen überprüfen, einschließlich Änderungen an Geheimnissen, Webhooks, Benutzern und Berechtigungen.
- Projektdateien und Code überprüfen, die aus PyCharm hochgeladen oder synchronisiert wurden, und darin enthaltene Schlüssel, Token oder vertrauliche Daten rotieren.
- Alle Ausführungen sowie deren Eingaben und Ausgaben als nicht vertrauenswürdig behandeln, bis die Untersuchung abgeschlossen ist.
Zu den Zugangsdaten, deren Änderung JetBrains empfiehlt, gehören AWS-, Azure- und Google-Cloud-Schlüssel, GitHub-, GitLab- und Bitbucket-Token, Zugangsdaten für npm, Maven, NuGet und PyPI, Schlüssel für Container-Registries sowie Slack-Token, SSH- und Signaturschlüssel und Dienstkonten.
Was bedeutet der Vorfall in der Praxis?
Das Risiko beschränkt sich hier nicht auf das Durchsickern von Identifikationsdaten. Eine Projektausführungsumgebung kann mit Cloud-Geheimnissen, Repository-Schlüsseln und Bereitstellungssystemen umgehen. Daher besteht die dringendste Maßnahme darin, davon auszugehen, dass jedes in Cadence oder der Sicherung gespeicherte oder für Ausführungen verfügbare Geheimnis offengelegt wurde, selbst wenn keine direkten Hinweise auf eine Kompromittierung vorliegen. JetBrains veröffentlichte IP-Adressen und Indicators of Compromise, warnte jedoch, dass diese nicht vollständig seien und ihr Fehlen nicht die Sicherheit eines Kontos oder Systems beweise.
JetBrains nahm den Server außer Betrieb, widerrief die von der Cadence-Erweiterung in PyCharm verwendeten Zugriffstoken und informierte die zuständigen Behörden. Nutzer können außerdem eine Liste der mit ihrer Nutzung des Dienstes verbundenen Zugangsdaten und Geheimnisse anfordern. Dabei wird darauf hingewiesen, dass diese Liste nicht vollständig ist. Der Umfang des Zugriffs auf Kundendaten und die endgültigen Untersuchungsergebnisse bleiben offene Punkte, zu denen weitere Updates verfolgt werden müssen.