Na sequência da descoberta de uma vulnerabilidade de segurança em outubro de 2026 relacionada com a fraqueza das chaves de encriptação de oito autoridades de certificação intermediárias (Intermediate CAs) pertencentes à eMudhra, a JetBrains emitiu orientações técnicas urgentes para os utilizadores da plataforma TeamCity para garantir a segurança dos seus ambientes de desenvolvimento e operação.
O que aconteceu?
Determinou-se que as chaves privadas de oito autoridades de certificação da eMudhra eram fracas e recuperáveis a partir de dados públicos. Embora a eMudhra tenha confirmado a ausência de provas de exploração desta vulnerabilidade antes da sua revelação, o risco reside no facto de os componentes de software que dependem de repositórios de confiança (Trust Stores) - como o ambiente de execução Java - poderem continuar a confiar nos certificados emitidos por estas autoridades comprometidas.
O que muda na prática para os utilizadores?
A JetBrains enfatiza que a vulnerabilidade não reside na própria plataforma TeamCity, mas afeta a infraestrutura de que esta depende. Por conseguinte, as equipas de DevOps devem tomar as seguintes medidas:
- Atualizar o ambiente de execução Java (JRE): Os ambientes Java utilizados nos servidores TeamCity e nos agentes de compilação (Build Agents) devem ser atualizados para as versões que corrigem as vulnerabilidades CVE-2026-91403 e CVE-2026-114820.
- Atualizar o TeamCity: Recomenda-se a atualização para as versões 2026.2.2 ou 2026.1.6, que incluem relatórios de integridade (Health Reports) que detetam automaticamente a presença de certificados afetados no sistema.
- Rever os certificados carregados: A atualização do Java não remove os certificados que os utilizadores carregaram manualmente para o TeamCity; portanto, estes devem ser inspecionados e quaisquer certificados afetados devem ser removidos através da interface de gestão de certificados no projeto raiz (Root Project).
- Atualizar as ferramentas CLI: O TeamCity CLI deve ser atualizado para a versão 1.6.1 ou mais recente, uma vez que foi reconstruído utilizando uma versão Go que inclui as correções de segurança necessárias.
Porque é que esta notícia é importante?
Este incidente serve como um lembrete da importância de gerir as cadeias de confiança nos ambientes CI/CD. Como o TeamCity funciona como um hub para operações de desenvolvimento, qualquer vulnerabilidade nos certificados confiáveis pode abrir a porta a ataques de falsificação de identidade ou interceção de dados. As atualizações fornecidas pela JetBrains não são apenas melhorias de software, mas sim medidas preventivas necessárias para evitar a exploração de certificados fracos em ambientes de produção.
Os administradores de sistemas também devem rever a infraestrutura de suporte, incluindo sistemas operativos, ferramentas de compilação como Git e Python, e contentores (Docker), para garantir que não dependem de repositórios de confiança que contenham os certificados comprometidos.