A raíz del descubrimiento de una vulnerabilidad de seguridad en octubre de 2026 relacionada con la debilidad de las claves criptográficas privadas de ocho autoridades de certificación intermedias (Intermediate CAs) pertenecientes a la empresa eMudhra, JetBrains ha emitido directrices técnicas urgentes para los usuarios de la plataforma TeamCity con el fin de garantizar la seguridad de sus entornos de desarrollo y operaciones.
¿Qué ha sucedido?
Se determinó que las claves privadas de ocho autoridades de certificación de eMudhra eran débiles y recuperables a partir de datos públicos. Aunque eMudhra confirmó que no existen pruebas de que esta vulnerabilidad fuera explotada antes de su divulgación, el riesgo radica en que los componentes de software que dependen de los almacenes de confianza (Trust Stores) —como el entorno de ejecución de Java— podrían seguir confiando en los certificados emitidos por estas autoridades comprometidas.
¿Qué cambia en la práctica para los usuarios?
JetBrains subraya que la vulnerabilidad no se encuentra en la plataforma TeamCity en sí, sino que afecta a la infraestructura de la que esta depende. Por lo tanto, los equipos de DevOps deben tomar las siguientes medidas:
- Actualizar el entorno de ejecución de Java (JRE): Es necesario actualizar los entornos Java utilizados en los servidores de TeamCity y en los agentes de compilación (Build Agents) a las versiones que corrigen las vulnerabilidades CVE-2026-91403 y CVE-2026-114820.
- Actualizar TeamCity: Se recomienda actualizar a las versiones 2026.2.2 o 2026.1.6, las cuales incluyen informes de estado (Health Reports) que detectan automáticamente la presencia de certificados afectados en el sistema.
- Revisar los certificados cargados: La actualización de Java no elimina los certificados que los usuarios hayan cargado manualmente en TeamCity; por lo tanto, es necesario inspeccionarlos y eliminar cualquier certificado afectado a través de la interfaz de administración de certificados en el proyecto raíz (Root Project).
- Actualizar las herramientas CLI: Se debe actualizar TeamCity CLI a la versión 1.6.1 o posterior, ya que ha sido recompilado utilizando una versión de Go que incluye las correcciones de seguridad necesarias.
¿Por qué es importante esta noticia?
Este incidente sirve como recordatorio de la importancia de gestionar las cadenas de confianza en los entornos de CI/CD. Dado que TeamCity actúa como el centro de las operaciones de desarrollo, cualquier vulnerabilidad en los certificados de confianza podría abrir la puerta a ataques de suplantación de identidad o interceptación de datos. Las actualizaciones proporcionadas por JetBrains no son meras mejoras de software, sino medidas preventivas esenciales para evitar la explotación de certificados débiles en los entornos de producción.
Los administradores de sistemas también deben revisar la infraestructura de soporte, incluidos los sistemas operativos, las herramientas de compilación como Git y Python, y los contenedores (Docker), para garantizar que no dependan de almacenes de confianza que contengan los certificados comprometidos.