A JetBrains anunciou a disponibilidade de atualizações de segurança críticas que afetam seu pacote de ferramentas de desenvolvimento e ambientes de programação, incluindo ambientes de desenvolvimento integrado (IDE), o Toolbox App, o Gateway e ferramentas .NET, após a descoberta de uma violação das chaves privadas de oito certificados intermediários emitidos pela autoridade certificadora (eMudhra).
Natureza da ameaça de segurança e seu impacto nos ambientes de trabalho
Essa violação representa um risco potencial devido à capacidade de um invasor de rede que monitora o tráfego de se passar por sites e serviços aos quais as ferramentas da JetBrains se conectam. Como os ambientes de desenvolvimento e o Toolbox App dependem do repositório de confiabilidade do Java Runtime Environment (JRE) incorporado da JetBrains, as atualizações do sistema operacional por si só não são suficientes para proteger os usuários contra esses riscos.
A empresa integrou correções da Oracle relacionadas às vulnerabilidades para resolver o problema por meio da atualização do ambiente de execução, além de fornecer atualizações separadas para o serviço em segundo plano (jetbrainsd), que possui seu próprio repositório de certificados confiáveis. Embora a empresa tenha confirmado que nenhum exploitation real dessa vulnerabilidade foi detectado contra seus usuários até o momento da publicação, ela enfatizou a necessidade de tomar medidas imediatas.
O que muda na prática?
Desenvolvedores e usuários devem tomar medidas práticas para garantir a segurança de seus ambientes de trabalho, que incluem:
- Atualizar ambientes de desenvolvimento integrado, como IntelliJ IDEA, PyCharm, Rider e outras ferramentas, para as novas versões seguras.
- Atualizar o Toolbox App para as versões mais recentes e evitar versões antigas que não receberão correções.
- Atualizar o serviço em segundo plano (jetbrainsd) e instalar a versão 0.9.9728 ou mais recente para aqueles que enfrentam dificuldades na atualização direta dos aplicativos.
- Seguir etapas alternativas caso a atualização imediata não seja possível, o que inclui a remoção manual dos certificados raiz afetados e a desativação do navegador integrado quando necessário.
Medidas de suporte e alternativas temporárias
A JetBrains esclareceu que as versões antigas lançadas em 2025 e anteriores não receberão atualizações para esse problema, tornando obrigatória a transição dos usuários para as versões suportadas. Nos casos em que a atualização direta for inviável, a empresa forneceu um guia passo a passo para limpar manualmente a lista de certificados usando ferramentas de linha de comando do Java, além de explicar como desativar o navegador JCEF (Java Chromium Embedded Framework) integrado para evitar quaisquer vulnerabilidades associadas a ele.