Los hackers ya están aprovechando un fallo grave en TeamCity, un programa que muchas empresas usan para fabricar sus aplicaciones. La agencia de ciberseguridad de Estados Unidos lo ha confirmado y ha dado de plazo hasta el 8 de agosto para corregirlo.
Imagina una fábrica donde se montan los coches de una marca. Si alguien entra en esa fábrica por la noche y manipula la cadena de montaje, todos los coches que salgan al día siguiente llevan el defecto escondido. Algo parecido ha pasado con TeamCity: un programa que sirve de «fábrica de software» para miles de empresas. Un fallo de seguridad permite que un atacante entre sin contraseña, y la agencia estadounidense de ciberseguridad (CISA) ha confirmado que ya hay ataques reales en marcha.
Qué es TeamCity y por qué importa
TeamCity es un programa creado por la empresa JetBrains. Muchas compañías de todo el mundo lo usan para construir sus aplicaciones: el programador escribe el código (las instrucciones) y TeamCity se encarga de «montar» la aplicación, comprobar que funciona y dejarla lista para los clientes. Es como una cadena de montaje automática para el software.
Por eso un fallo en TeamCity no afecta solo a una empresa: si el atacante entra en la «fábrica», puede tocar el producto final que después se reparte a miles o millones de usuarios.
Qué ha pasado
El fallo, catalogado como CVE-2026-63077, se descubrió a principios de julio. Un investigador lo notificó a JetBrains, que publicó el arreglo a finales de ese mes: las versiones 2025.11.7 y 2026.1.3 ya están corregidas. El problema tiene la gravedad máxima (9,8 sobre 10) y permite entrar en el servidor sin necesidad de contraseña ni cuenta de usuario.
El problema real es que no todo el mundo ha actualizado. Y el pasado 5 de agosto, la agencia de ciberseguridad de Estados Unidos (CISA) incluyó este fallo en su lista de vulnerabilidades que ya se están aprovechando en ataques reales. Esa lista es la señal de alarma máxima: significa que hay piratas informáticos usándolo ahora mismo. CISA ha dado a las agencias federales de EE. UU. hasta el 8 de agosto para arreglarlo.
No es la primera vez
TeamCity ya ha sido objetivo antes. Grupos de ransomware y hackers patrocinados por gobiernos han aprovechado fallos anteriores (como el CVE-2023-42793 o el CVE-2024-27198) para colarse en empresas que no habían actualizado. La lección se repite: si el servidor queda sin parches, los atacantes terminan encontrándolo.
Por qué es tan peligroso
Lo peor es que el atacante no necesita contraseña ni cuenta de usuario. Basta con que el servidor de TeamCity esté conectado a internet para intentar entrar. Una vez dentro, el pirata puede hacer casi cualquier cosa: robar las contraseñas guardadas, cambiar la configuración o esconder código malicioso dentro de las aplicaciones que la empresa va a enviar a sus clientes.
Ese último punto es el más temido: se llama ataque a la cadena de suministro. En lugar de atacar a cada usuario uno a uno, el pirata envenena el producto en el origen, igual que quien contamina la comida antes de que llegue al supermercado. Así, el daño se multiplica sin esfuerzo.
Me afecta a mí?
Probablemente no de forma directa: TeamCity no es un programa que la gente normal instale en casa. Lo usan empresas de software, estudios de videojuegos y organismos públicos. Pero sí te afecta como usuario: muchas de las aplicaciones que usas a diario (bancos, tiendas, juegos) pueden haberse fabricado con herramientas como esta. Si una de esas empresas sufre un ataque, su app podría llegar a tu teléfono con una sorpresa desagradable.
La buena noticia es que no hay que hacer nada en casa. La responsabilidad es de las empresas.
Qué deben hacer las empresas
La solución es sencilla de explicar pero urgente: actualizar. JetBrains ya ha publicado las versiones corregidas (2025.11.7 y 2026.1.3) y también un parche especial para las versiones antiguas. Las empresas que usan TeamCity en la nube (TeamCity Cloud) no tienen que hacer nada, porque el fabricante ya lo ha protegido.
Actualizar es como ponerse la vacuna: se hace una vez y cierra la puerta al problema. Quien no lo haga, se queda con la puerta abierta.
La lección de esta historia es que el software también se fabrica en cadenas de montaje, y que la seguridad de esos talleres importa tanto como la de cualquier fábrica. Si tu empresa o tu trabajo usan TeamCity, este es el momento de comprobar la versión. El plazo ya está corriendo.
