1 漏洞批次完整风险梳理2026年7月JetBrains官方安全公告一次性披露旗下全线开发工具18个安全缺陷漏洞覆盖桌面IDE客户端、远程开发服务、TeamCity持续集成服务三大核心组件。本次漏洞分级不采用模糊描述直接按CVSS v3.1评分划分风险等级2个满分10.0严重漏洞、1个9.6严重路径遍历RCE漏洞、12个8.0至9.1区间高危漏洞、2个中危漏洞、1个低危漏洞。所有满分、严重、高危漏洞均存在可远程触发、低交互攻击特征攻击者仅通过网络请求、恶意代码项目文件即可完成利用不存在复杂前置攻击条件。官方漏洞披露文档未记录任何公开在野利用样本但安全厂商内部捕获多套概念验证POC代码企业研发网络存在极高被定向渗透风险。受影响产品统一划定边界IntelliJ IDEA、PyCharm、WebStorm、GoLand、PhpStorm、Rider、CLion全部2026.2版本之前客户端TeamCity 2026.1.2、2025.11.6之前所有服务端版本。修复手段唯一根治路径为客户端、服务端全量升级至指定补丁版本所有临时配置加固仅能缩小攻击面无法彻底消除漏洞底层缺陷。2 两个CVSS 10满分漏洞底层原理拆解两个漏洞绑定IDE Remote Development远程开发服务组件组件作用为本地IDE连接远端服务器代码目录实现云端编码编译调试。2.1 CVE-2026-64812 无认证远程指令注入CVSS 10.0底层缺陷根源CWE-306远程服务监听端口默认开放内网、外网访问权限服务端接收客户端TCP数据流时未实现身份校验逻辑。正常业务流程中本地IDE连接远程服务会携带本地生成的临时鉴权令牌服务端校验令牌合法性后建立会话通道。缺陷逻辑服务端数据解析模块仅判断数据包格式合法性完全跳过令牌校验分支任意网络主体构造符合格式TCP数据包无需令牌即可和远程服务建立完整会话。数据包内可携带文件读写、进程创建、系统命令执行三类指令攻击者下发系统执行指令后远程服务器直接以服务运行用户权限执行命令无权限拦截、无操作日志记录。CVSS满分评分判定依据攻击向量网络可触达、攻击复杂度最低无需前置条件、无需用户交互、漏洞利用后同时破坏机密性完整性可用性无任何权限限制。2.2 CVE-2026-64813 客户端安全校验绕过CVSS 10.0底层缺陷CWE-602远程会话配置同步逻辑存在单向信任缺陷服务端下发配置参数时本地IDE客户端不会校验配置来源合法性。IDE本地内置安全隔离规则包含代码执行白名单、文件访问黑名单、外部脚本拦截策略所有安全规则存储于全局配置文件。正常逻辑仅本地用户手动修改配置文件客户端才会加载更新安全规则远程服务仅能同步代码目录路径、编译参数等非安全类配置。缺陷逻辑远程服务数据包可携带全局安全配置覆盖指令客户端接收指令后直接覆盖本地安全策略无来源校验、无修改弹窗确认。攻击者搭配上一个无认证漏洞完成组合攻击先建立无授权会话下发配置指令清空本地代码执行拦截黑名单再下发恶意代码执行指令本地IDE直接放行恶意代码运行。2.3 双漏洞组合攻击底层逻辑两个缺陷分属服务端、客户端两层单一漏洞危害存在边界限制组合后形成无边界完整攻击链路。仅CVE-2026-64812漏洞可实现远程服务器命令执行但无法篡改本地IDE客户端安全策略仅CVE-2026-64813漏洞无法建立未授权会话无下发配置指令通道。两者叠加后攻击者单次网络请求即可打通远程服务器、本地开发终端两台设备权限通道横向渗透企业内网研发服务器、代码仓库、CI流水线节点。3 配套16个剩余漏洞风险分级与触发条件3.1 严重级漏洞CVSS 9.6CVE-2026-59792缺陷类型路径遍历恶意项目自动触发RCE缺陷存在于IDE项目文件解析模块。IDE默认配置开启自动解析项目内xml、json、gradle、maven配置文件文件解析逻辑未过滤路径跳转符号../。攻击者构建开源风格恶意项目压缩包项目配置文件写入路径跳转载荷搭配系统脚本执行指令。研发人员下载解压后仅用IDE打开项目文件夹无需手动执行任何代码IDE后台自动解析配置文件触发远程代码执行。触发载体无限制GitHub、Gitee、第三方代码分享平台、邮件附件均可承载恶意项目文件企业内部开源代码评审流程若缺少文件载荷检测极易批量沦陷研发工作站。3.2 12个高危漏洞CVSS 8.0~9.1分类梳理TeamCity Git仓库权限绕过漏洞CVSS 9.1CI服务Git源码拉取模块校验逻辑缺失外部匿名访问者构造特殊仓库地址绕过仓库访问权限校验读取流水线明文密钥、服务器登录凭证、数据库连接字符串。远程开发文件读取越权漏洞CVSS 8.6CVE-2026-64814和两个满分漏洞同属远程开发组件无认证会话建立后攻击者可读取远程服务器任意路径文件包含服务端私钥、环境变量配置文件读取文件后结合命令执行漏洞完成完整渗透。多IDE插件文件上传路径遍历漏洞4个同类型高危官方生态第三方插件安装包解析逻辑未过滤路径跳转字符攻击者制作恶意插件压缩包用户安装插件瞬间完成本地文件读取、写入操作。内置终端命令过滤绕过漏洞3个同类型高危IDE内置终端工具针对特殊系统符号过滤逻辑存在缺陷恶意代码文件可拼接过滤绕过字符在终端静默执行系统指令。调试器代理未授权访问漏洞2个同类型高危Java、Go、Python调试代理端口默认开放无访问鉴权逻辑内网攻击者连接调试端口读取内存明文密钥、运行时敏感数据。3.3 中危、低危漏洞合计3个中危IDE日志文件明文存储用户账号密码CVSS 6.2客户端操作日志未做脱敏处理本地日志文件直接记录代码仓库登录账号、私人密钥字符串本地低权限用户读取日志文件获取敏感凭证。中危TeamCity构建日志敏感信息泄露CVSS 5.8流水线构建日志默认不屏蔽环境变量密钥匿名访客查看构建日志页面可抓取数据库、对象存储访问密钥。低危IDE欢迎页面第三方链接跳转无跳转校验CVSS 3.1欢迎页面外部链接未实现域名白名单校验可跳转钓鱼网站仅造成信息钓鱼风险无代码执行、文件读取权限危害。4 远程开发模块攻击链完整流程图攻击者构造TCP数据包发送数据包至远程开发开放端口CVE-2026-64812服务端跳过令牌校验建立未授权会话下发配置覆盖载荷数据包CVE-2026-64813客户端无校验覆盖本地安全拦截策略下发系统命令执行载荷远程服务器执行恶意指令获取服务器root权限本地IDE客户端放行恶意代码攻陷研发工作站横向渗透内网代码仓库、CI服务、数据库节点5 恶意项目RCE漏洞底层架构缺陷图缺陷未过滤../恶意项目压缩包研发人员解压项目文件夹IDE打开项目目录触发自动解析流程项目配置解析模块读取xml/gradle文件载荷路径跳转符号过滤逻辑载荷跳转至系统敏感目录执行内嵌系统脚本指令本地工作站RCE窃取源码、密钥、内网凭证6 全平台漏洞自动检测脚本Windows/Linux/macOS脚本功能扫描本地已安装JetBrains全系IDE、TeamCity服务读取程序版本号匹配漏洞影响版本区间输出风险等级、修复建议、加固操作指引。6.1 Linux/macOS 检测脚本 jetbrains_scan.sh#!/bin/bash# JetBrains漏洞版本自动检测脚本 Linux/macOS# 输出日志存储路径LOG_PATH./jetbrains_vul_scan.logecho JetBrains漏洞扫描启动 执行时间:$(date)$LOG_PATH# 定义受影响版本阈值FIX_IDE_VERSION2026.2FIX_TC_MAIN2026.1.2FIX_TC_20252025.11.6# 版本比较函数version_compare(){localver1$1localver2$2if[$ver1$ver2];thenechoeqelif[$(printf%s\n$ver1$ver2|sort-V|head-n1)$ver1];thenecholtelseechogtfi}# 扫描桌面IDE安装目录IDE_PATHS(/Applications/IntelliJ IDEA.app/Contents/Applications/PyCharm.app/Contents/Applications/WebStorm.app/Contents/usr/local/jetbrains/idea/usr/local/jetbrains/pycharm/opt/idea/opt/pycharm)forpathin${IDE_PATHS[]};doif[-d$path];thenVERSION_FILE$path/build.txtif[-f$VERSION_FILE];thenINSTALLED_VER$(cat$VERSION_FILE|grepversion|cut-d-f2)echo检测IDE目录:$path本地版本:$INSTALLED_VER$LOG_PATHCOMP_RESULT$(version_compare $INSTALLED_VER $FIX_IDE_VERSION)if[$COMP_RESULTlt];thenecho【高危风险】IDE版本低于修复版$FIX_IDE_VERSION存在18个漏洞含2个CVSS10满分漏洞$LOG_PATHecho修复操作升级IDE至2026.2及以上版本临时加固禁用Remote Development远程开发功能$LOG_PATHelseecho【安全】IDE版本已修复无本次批次漏洞风险$LOG_PATHfififidone# 扫描TeamCity服务TC_PATHS(/opt/TeamCity/usr/local/teamcity/Library/TeamCity)fortc_pathin${TC_PATHS[]};doif[-d$tc_path];thenTC_VER_FILE$tc_path/webapps/ROOT/version.txtif[-f$TC_VER_FILE];thenTC_VER$(cat$TC_VER_FILE)echo检测TeamCity目录:$tc_path版本:$TC_VER$LOG_PATHTC_BRANCH$(echo$TC_VER|cut-d.-f1-2)if[$TC_BRANCH2026.1];thenTC_COMP$(version_compare $TC_VER $FIX_TC_MAIN)if[$TC_COMPlt];thenecho【高危风险】TeamCity 2026.1分支未修复存在权限绕过高危漏洞$LOG_PATHfielif[$TC_BRANCH2025.11];thenTC_COMP$(version_compare $TC_VER $FIX_TC_2025)if[$TC_COMPlt];thenecho【高危风险】TeamCity 2025.11分支未修复存在权限绕过高危漏洞$LOG_PATHfifififidoneecho 扫描结束 日志存储:$LOG_PATH$LOG_PATHcat$LOG_PATH使用方式将代码保存为 jetbrains_scan.sh授权执行权限 chmod x jetbrains_scan.sh直接运行 ./jetbrains_scan.sh6.2 Windows Powershell 检测脚本 JetBrainsScan.ps1# JetBrains漏洞版本检测脚本 Windows Powershell$LogPath.\jetbrains_vul_scan.log$StartTimeGet-Date JetBrains漏洞扫描启动 执行时间:$StartTime|Out-File$LogPath-Append# 修复版本定义$FixIDEVer2026.2$FixTCMain2026.1.2$FixTC20252025.11.6# 版本对比函数functionCompare-Version{param($v1,$v2)$ver1[version]$v1$ver2[version]$v2if($ver1-lt$ver2){returnlt}elseif($ver1-eq$ver2){returneq}else{returngt}}# 扫描IDE安装目录$IDEPaths (C:\Program Files\JetBrains\IntelliJ IDEA,C:\Program Files\JetBrains\PyCharm,C:\Program Files\JetBrains\WebStorm,$env:USERPROFILE\.local\jetbrains\idea)foreach($pathin$IDEPaths){if(Test-Path$path){$BuildFileJoin-Path$pathbuild.txtif(Test-Path$BuildFile){$VerLineGet-Content$BuildFile|Where-Object{$_-matchversion}$LocalVer$VerLine.Split()[1].Trim()检测IDE目录:$path本地版本:$LocalVer|Out-File$LogPath-Append$ResCompare-Version$LocalVer$FixIDEVerif($Res-eqlt){【高危风险】IDE版本低于修复版$FixIDEVer存在18个安全漏洞|Out-File$LogPath-Append修复方案客户端升级至2026.2临时加固关闭远程开发端口、禁用远程开发组件|Out-File$LogPath-Append}else{【安全】IDE版本已完成漏洞修复|Out-File$LogPath-Append}}}}# TeamCity扫描$TCPaths (C:\TeamCity,C:\Program Files\TeamCity)foreach($tcPathin$TCPaths){if(Test-Path$tcPath){$TCVerFileJoin-Path$tcPathwebapps\ROOT\version.txtif(Test-Path$TCVerFile){$TCVerGet-Content$TCVerFile检测TeamCity目录:$tcPath版本:$TCVer|Out-File$LogPath-Append$TCBranch$TCVer.Split(.)[0].$TCVer.Split(.)[1]if($TCBranch-eq2026.1){$tcResCompare-Version$TCVer$FixTCMainif($tcRes-eqlt){【高危风险】TeamCity版本未修复Git仓库权限绕过漏洞可窃取CI密钥|Out-File$LogPath-Append}}elseif($TCBranch-eq2025.11){$tcResCompare-Version$TCVer$FixTC2025if($tcRes-eqlt){【高危风险】TeamCity版本未修复存在高危权限绕过漏洞|Out-File$LogPath-Append}}}}}$EndTimeGet-Date 扫描完成 日志路径:$LogPath结束时间:$EndTime|Out-File$LogPath-AppendGet-Content$LogPath使用方式保存为 JetBrainsScan.ps1管理员权限打开Powershell执行 .\JetBrainsScan.ps17 IDE批量升级自动化部署脚本企业多终端批量升级需求下使用静默安装脚本批量推送2026.2版本IDE安装包跳过手动弹窗交互。Linux静默升级脚本 ide_upgrade.sh#!/bin/bash# JetBrains IDE 静默批量升级脚本INSTALL_PACK./ideaIC-2026.2.tar.gzINSTALL_TARGET/opt/jetbrains/idea2026.2if[!-f$INSTALL_PACK];thenecho错误未找到2026.2安装压缩包请放置脚本同目录exit1fi# 创建安装目录mkdir-p$INSTALL_TARGET# 解压安装包tar-zxvf$INSTALL_PACK-C/opt/jetbrains/# 建立软链接替换旧版本启动入口ln-snf$INSTALL_TARGET/opt/jetbrains/current_ideaechoIDE静默升级完成新版本目录:$INSTALL_TARGETecho执行启动命令 /opt/jetbrains/current_idea/bin/idea.sh8 无法升级场景临时加固配置清单企业部分老旧工作站硬件性能不支持新版IDE无法完成升级执行以下全维度加固配置收缩全部攻击面。禁用Remote Development远程开发组件打开IDE安装目录下idea.properties配置文件添加参数idea.remote.enabledfalse保存后重启IDE远程服务端口不再监听网络请求。防火墙封禁远程开发默认端口远程开发默认端口区间59900-60000防火墙规则拦截该区间所有入站TCP请求仅本地回环地址127.0.0.1放行端口访问。开启不信任项目强制隔离模式IDE全局设置-Security勾选「隔离所有未本地可信目录项目」打开陌生项目自动启用沙箱隔离禁止配置文件自动解析。禁用IDE内置终端脚本自动执行设置-Tools-Terminal关闭「自动执行项目内shell/bat脚本」开关拦截恶意配置文件触发终端指令。调试代理端口绑定本地回环地址修改调试代理配置监听地址固定127.0.0.1禁止0.0.0.0全网监听内网其他设备无法连接调试端口读取内存敏感数据。定期清理IDE本地日志文件设置每周定时任务删除IDE日志目录避免日志明文泄露账号密钥日志路径统一为~/.cache/JetBrains/*/logs。9 TeamCity服务专项安全加固步骤升级至对应修复版本2026主线升级2026.1.22025.11分支升级2025.11.6。Git仓库访问权限精细化划分为每个代码仓库单独配置访问白名单IP匿名访客完全禁止访问仓库页面、构建日志页面。关闭构建日志明文输出环境变量服务端配置文件添加参数teamcity.log.hideEnvVariablestrue日志自动脱敏所有密钥字符串。CI流水线构建节点仅内网访问前端部署反向代理增加账号二次验证机制登录启用企业统一身份认证SSO。定期清理历史构建记录超过30天的构建日志自动删除缩小敏感信息泄露范围。10 企业研发团队供应链长效管控规范本次漏洞核心风险载体为第三方开源项目、插件企业搭建长效管控机制阻断供应链攻击入口。代码入库前置扫描规范所有提交至企业内部代码仓库的项目压缩包、源码文件自动执行漏洞检测脚本扫描文件内是否存在路径跳转载荷、恶意执行脚本检测不通过禁止合并代码。IDE插件安装管控禁止研发人员手动安装第三方非官方认证插件企业内部搭建插件私有仓库仅同步官方安全审核后的插件包终端IDE仅允许访问内部插件仓库。外部代码评审强制流程员工从外部代码平台下载开源项目提交内部评审流程安全人员人工审计项目配置文件、脚本文件无恶意载荷后才可在企业工作站打开。研发终端统一基线管理全公司IDE客户端统一锁定2026.2及以上基线版本终端管理平台定期推送漏洞检测脚本扫描所有研发工作站发现未升级终端自动推送升级安装包。内网流量监控规则防火墙、流量审计设备新增监控规则监控内网59900-60000端口异常TCP连接发现陌生外部IP发起连接立即阻断并推送安全告警给运维人员。11 漏洞复现限制与边界防御思路公开网络不存在完整可直接运行的漏洞利用工具现有POC仅完成概念验证存在多重利用限制。远程开发漏洞利用前置条件目标设备开放59900-60000端口未开启防火墙拦截端口流量仅内网环境、公网无防护设备可完成攻击。恶意项目RCE漏洞限制攻击者必须诱导研发人员解压并使用IDE打开恶意项目无主动传播能力依赖人工操作触发漏洞。边界防御核心思路分层阻断攻击链路网络层防火墙拦截高危端口、终端层IDE加固关闭风险组件、应用层代码扫描拦截恶意载荷、管理层统一基线管控终端版本。四层防御叠加后即使客户端无法升级漏洞可利用概率降至趋近于零。12 企业落地安全考核与巡检方案安全运维团队每月执行研发终端安全巡检巡检项全部量化考核纳入研发部门安全绩效。月度巡检固定内容全终端IDE版本扫描统计未升级终端数量未升级终端100%执行临时加固配置。内网端口流量审计筛查59900-60000端口异常连接记录留存日志3个月用于溯源。TeamCity服务配置核查确认日志脱敏、仓库IP白名单、SSO登录验证全部开启。内部代码仓库扫描日志复盘统计拦截恶意项目载荷数量优化扫描脚本匹配规则。考核标准月度未修复高危漏洞终端数量清零内网无高危端口异常访问告警代码仓库恶意载荷拦截流程100%正常运行。13 总结与读者互动提问本次JetBrains批量漏洞暴露研发工作站、CI服务两类核心资产的供应链安全短板两个CVSS满分远程开发漏洞打破本地开发终端和远程服务器的网络隔离边界恶意项目RCE漏洞依托开源代码传播渠道形成批量渗透风险。根治风险唯一方案为全线IDE、TeamCity服务升级官方补丁版本硬件受限无法升级的场景执行多层临时加固策略收缩全部攻击面。企业需要搭建终端基线管控、代码前置扫描、内网流量监控三位一体长效防护机制从源头阻断供应链定向渗透攻击。互动提问你们企业研发工作站是统一管控IDE版本还是员工自主安装客户端是否遇到老旧设备无法升级新版IDE的情况针对外部开源项目引入企业内网你们团队目前有哪些代码安全审计流程