JetBrains, Cadence hizmetinin, Cadence'in iş yüklerini düzenlemek için kullandığı platform olan TeamCity'deki CVE-2026-63077 kritik güvenlik açığının istismar edilmesinin ardından ihlal edildiğini doğruladı. İsteğe bağlı bir PyCharm eklentisi aracılığıyla Cadence, projelerin bulut bilişim kaynaklarında çalıştırılmasına olanak tanıyor. Bu da olayı yalnızca hizmet hesaplarıyla değil, kullanıcıların yürütme ortamlarına bağladığı sistemler ve kimlik bilgileriyle de ilgili hâle getiriyor.
JetBrains'in 28 Ağustos 2026'da Orta Avrupa Saati ile 11:50'de yayımladığı son güncellemeye göre etkilenen sunucu api.cadence.jetbrains.com idi. Etkilenen dönem 8-24 Ağustos 2026 arasını kapsıyor; şirket istismarı 23 Ağustos'ta tespit etti, ardından soruşturmayı sürdürürken sunucuyu 24 Ağustos'ta hizmet dışı bıraktı.
Hangi veriler ve sistemler tehlikeye girdi?
JetBrains, saldırganların kişisel verilere erişip bunları çıkardığını belirtti. Bu veriler arasında kullanıcı adları, gerçek adlar, e-posta adresleri, son oturum açma zamanları ve son erişimde kullanılan IP adresleri bulunuyor. Bu durum hedefli kimlik avı, sosyal mühendislik ve kimlik taklidi risklerini artırabilir.
Şirket ayrıca 2024 yılına ait eksiksiz bir Cadence sunucusu yedeğinin ele geçirildiğini doğruladı. JetBrains'in açıkladığına göre bu yedek; kimlik bilgileri, ayarlar, yürütme sonucunda oluşturulan dosyalar ve günlükler veya diğer verileri içeriyor. Bu nedenle yedek, potansiyel olarak açığa çıkmış kabul edilmelidir. İhlal, çeşitli AWS IAM kullanıcılarını ve bunlarla ilişkili kimlik bilgileri ile sırları da kapsadı. Buna, hizmeti kullanan JetBrains çalışanlarının hesapları ve şirketin AWS hesaplarındaki S3 kapsayıcılarında depolanan dosyalar da dahil.
JetBrains, erişilen verilerin tam kapsamını hâlâ belirliyor ve saldırganların müşterilere ait depolama kapsayıcılarına erişip erişmediği şu anda bilinmiyor. Ancak Cadence'i kendi kapsayıcılarına erişecek şekilde yapılandıran kullanıcılar, bu bağlantı için kullanılan kimlik bilgilerinin açığa çıkmış olabileceğini varsaymalıdır.
Cadence kullanıcılarının gerçekleştirmesi gereken işlemler
- Cadence işlemlerini çalıştırmak için kullanılmış olabilecek tüm kimlik bilgilerini ve sırları iptal edin, ardından yenileyin.
- Olağandışı etkinlik olup olmadığını kontrol etmek için AWS hesaplarını, S3 kapsayıcılarını, dağıtım ortamlarını, paket depolarını ve kapsayıcı depolarını inceleyin.
- Yetkisiz klonlama, indirme veya değişiklikler; buna sırların, web kancalarının, kullanıcıların ve izinlerin değiştirilmesi de dahil olmak üzere, kaynak kodu depolarını inceleyin.
- PyCharm'dan yüklenen veya senkronize edilen proje dosyalarını ve kodu inceleyin; bunların içinde yer alan anahtarları, belirteçleri veya hassas verileri yenileyin.
- Soruşturma tamamlanana kadar tüm yürütmeleri ve bunların girdileri ile çıktılarını güvenilmez kabul edin.
JetBrains'in değiştirilmesini önerdiği kimlik bilgileri arasında AWS, Azure ve Google Cloud anahtarları; GitHub, GitLab ve Bitbucket belirteçleri; npm, Maven, NuGet ve PyPI kimlik bilgileri; kapsayıcı kayıt defteri anahtarları; ayrıca Slack belirteçleri, SSH anahtarları, imzalama anahtarları ve hizmet hesapları bulunuyor.
Olay pratikte ne anlama geliyor?
Buradaki risk yalnızca tanımlayıcı verilerin sızmasıyla sınırlı değil; proje yürütme ortamı bulut sırları, depo anahtarları ve dağıtım sistemleriyle işlem yapabilir. Bu nedenle en acil işlem, doğrudan bir ihlal göstergesi ortaya çıkmamış olsa bile Cadence'de, yedekte veya yürütmelerin erişebildiği yerlerde depolanan her sırrın açığa çıktığını varsaymaktır. JetBrains IP adresleri ve ihlal göstergeleri yayımladı, ancak bunların kapsamlı olmadığı ve bunların bulunmamasının hesabın veya sistemin güvenli olduğunu kanıtlamadığı konusunda uyardı.
JetBrains sunucuyu hizmet dışı bıraktı, PyCharm'daki Cadence eklentisinin kullandığı erişim belirteçlerini geçersiz kıldı ve ilgili makamlara bildirimde bulundu. Şirket ayrıca kullanıcıların hizmeti kullanımlarıyla ilişkili kimlik bilgileri ve sırların listesini talep etmelerine olanak tanıyor; ancak bu listenin kapsamlı olmadığı konusunda uyarıyor. Müşteri verilerine erişimin kapsamı ve soruşturmanın nihai sonuçları, sonraki güncellemelerin takip edilmesini gerektirecek açık konular olmaya devam ediyor.