CVE-2026-106218 RCE in TeamCity via Kotlin DSL Sandbox Escape

La vulnerabilità CVE-2026-106218 descrive un difetto di sandbox escape nel motore Kotlin DSL di JetBrains TeamCity. Il Kotlin DSL è il linguaggio utilizzato per definire le pipeline di integrazione e deployment continui in TeamCity. Un utente autenticato o un'entità in grado di inviare richieste al server TeamCity potrebbe sfruttare questa falla per eseguire codice arbitrario con i privilegi dell'applicazione server.

La vulnerabilità ha un CVSS di 8,8 (HIGH), indicando rischio significativo per ambienti di produzione. JetBrains ha confermato il problema e rilasciato patch il 2026-10-06 attraverso la banca dati NVD. Non sono segnalati exploit pubblici su repository GitHub. Tuttavia, la vulnerabilità è già stata menzionata su social media specializzati, segnale che la consapevolezza nel settore della sicurezza informatica è attiva.

Azioni consigliate per i team di infrastruttura: 1) Verificare immediatamente le versioni di TeamCity in produzione; 2) Se la versione è inferiore a 2026.1.3 o a 2025.11.7, pianificare l'aggiornamento con priorità critica; 3) Nel breve termine, valutare restrizioni di accesso al server TeamCity (firewall, VPN) per limitare l'esposizione; 4) Monitorare i log di TeamCity per attività anomale o accessi inaspettati al Kotlin DSL.

Il Kotlin DSL in TeamCity è una superficie di attacco sensibile perché processa codice dichiarativo inviato dagli utenti. Se il sandbox non è sufficientemente robusto, un'evasione può portare all'esecuzione di comandi di sistema. Questo è particolarmente critico in ambienti dove TeamCity gestisce build di software sensibile o controllato.