JetBrains TeamCity için eMudhra Güvenlik Açığı Uyarısı ve Güncellemeleri Yayınladı

Ekim 2026'da eMudhra tarafından işletilen sekiz ara sertifika otoritesinin özel anahtarlarının zayıf olduğu ve kamuya açık verilerden kurtarılabildiği tespit edildi. Bu olay doğrudan TeamCity yazılımından kaynaklanmasa da, yazılımın kullandığı Java çalıntı anahtarları ve zayıf sertifikaları güvenilir kabul etmeye devam edebilmesi nedeniyle sistemleri etkiliyor. Yaşanan gelişmenin ardından JetBrains, TeamCity On-Premises ve Cloud kullanıcıları için güncelleme ve güvenlik adımlarını paylaştı.

Sürecin yönetilmesi için TeamCity sürümleri 2026.2.2 ve 2026.1.6 olarak güncellendi. Bu sürümler, sistemde hâlâ sorunlu sertifikalara güvenen kurulumlar varsa bunu tespit eden bir sağlık raporu (health report) sunuyor. Ayrıca Windows ajan yükleyicileri için güncellenmiş Java çalışma ortamı ve yeni Docker imajları bu paketlerle birlikte geliyor. TeamCity Cloud tarafında bulut altyapısı güncellenmiş olsa da kullanıcıların sisteme yükledikleri sertifikaları ve kendi barındırdıkları (self-hosted) build ajanlarını gözden geçirmesi gerekiyor.

Güncelleme ve Çözüm Adımları

Güvenlik açığının giderilmesi için her sunucu düğümü ve ajanın kullandığı Java çalışma ortamının güncellenmesi gerekiyor. Java satıcısının CVE-2026-91403 ve CVE-2026-114820 yamalarını içeren sürümlerinin yüklenmesi, örneğin Amazon Corretto 21 için 21.0.13.0.11 veya üzeri sürümlere geçilmesi şart koşuluyor. Docker kullanan kurulumlar için ise 2026.2.2 veya 2026.1.6 etiketli yamalanmış sunucu ve ajan imajlarının çekilerek konteynerlerin yeniden oluşturulması isteniyor.

Sunucu tarafında Java güncellense bile sisteme daha önceden yüklenmiş sertifikaların otomatik olarak silinmediği belirtiliyor. Bu nedenle yöneticilerin Root projesinin SSL / HTTPS Sertifikaları sayfasından sorunlu sertifikaları manuel olarak kaldırması gerekiyor. Ayrıca TeamCity CLI aracı da güncellendi; Go 1.27.3 ile yeniden derlenen 1.6.1 sürümünün komut satırından yüklenmesi öneriliyor.