شرکت JetBrains از کاربران Cadence می‌خواهد پس از یک رخداد امنیتی در ماه گذشته که در آن عاملان تهدید ناشناس با سوءاستفاده از یک آسیب‌پذیری بحرانی که به‌تازگی در TeamCity افشا شده بود به محیط خود شرکت نفوذ کردند، همه اعتبارنامه‌ها را ابطال و تعویض کنند.
«کاربران Cadence باید فوراً همه اعتبارنامه‌ها و اسراری را که ممکن است برای اجرای Cadence آنها به‌کار رفته باشند ابطال یا تعویض کنند»، شرکت JetBrains گفت. «همچنین باید همه اجراها، از جمله ورودی‌ها و خروجی‌های آنها در پروژه Cadence شما، بالقوه غیرقابل‌اعتماد تلقی شوند.»
«از آنجا که عاملان تهدید به سرور Cadence دسترسی پیدا کردند، هر اعتبارنامه یا رازی که در Cadence ذخیره شده، در نسخه پشتیبانِ به‌خطر‌افتاده وجود داشته، یا برای اجراها روی سرورِ متاثر در دسترس قرار گرفته است، باید به‌خطر افتاده تلقی شود و ابطال یا تعویض شود.»
Cadence یک سرویس محاسبات ابری میزبانی‌شده توسط JetBrains است که از طریق یک افزونه اختیاری با PyCharm یکپارچه می‌شود تا به توسعه‌دهندگان اجازه دهد بارهای کاری یادگیری ماشین و سایر بارهای سنگین را مستقیماً از IDE خود روی GPUهای ابری اجرا کنند.
به‌گفته این شرکت توسعه نرم‌افزار، این حمله با بهره‌برداری از CVE-2026-63077 (امتیاز CVSS: 9.8) برای نفوذ به محیط‌های Cadenceِ متاثر انجام شد. آسیب‌پذیری deserialization داده‌های غیرقابل‌اعتماد می‌تواند به مهاجمِ بدون احراز هویت که به یک سرور TeamCity دسترسی دارد اجازه دهد بررسی‌های احراز هویت را دور بزند و فرمان‌های دلخواه سیستم‌عامل را با امتیازات فرآیند سرور TeamCity اجرا کند.
این نقص امنیتی از آن زمان در محیط واقعی تحت بهره‌برداری فعال قرار گرفته است، و آژانس U.S. Cybersecurity and Infrastructure Security Agency (CISA) آن را در 5 اوت 2026 به فهرست Known Exploited Vulnerabilities (KEV) افزود. فعالیت بهره‌برداری که Cadence را هدف می‌گرفت، در 23 اوت 2026 توسط JetBrains کشف شد.
در به‌روزرسانی‌های بعدی، شرکت JetBrains گفت عامل تهدید به داده‌های موجود در نسخه پشتیبانِ سرور Cadence از سال 2024 دسترسی پیدا کرد و دسترسی غیرمجاز به‌دست آورد که می‌توانست به او امکان دهد به فضای ذخیره‌سازیِ حاوی داده‌های مرتبط با کاربران فعلی Cadence، از جمله نشانی‌های ایمیل، کد منبع پروژه، و اعتبارنامه‌ها دست یابد.
«این موضوع، همان گروه از کاربرانی را تحت تأثیر قرار می‌دهد که پیش‌تر به‌طور مستقیم با آنان تماس گرفته شده بود»، دانیل گالو، سرپرست مهندسی راهکارها در شرکت JetBrains، گفت. «این یافته‌ها هیچ کاربر آسیب‌دیده اضافی‌ای را شناسایی نکردند. به‌عنوان یک اقدام احتیاطی، در شرکت JetBrains داده‌های ذخیره‌شده در آنجا بالقوه افشا شده تلقی می‌شود.»
برخی از اطلاعاتی که دسترسی بازیگر تهدید به آن یا به خطر انداختن آن «تأیید شده» است –
- داده‌های شخصی، شامل نام‌کاربری، نام واقعی، نشانی‌های ایمیل، برچسب‌های زمانی آخرین ورود، و نشانی‌های IP آخرین دسترسی.
- یک نسخه پشتیبان کامل از سرور Cadence مربوط به سال 2024 که شامل اعتبارنامه‌ها، پیکربندی، آرتیفکت‌ها، لاگ‌ها یا داده‌های دیگر است.
- چندین کاربر AWS IAM و اعتبارنامه‌ها و secrets مرتبط که با Cadence استفاده می‌شدند و از پشتیبان 20224 استخراج شده‌اند، از جمله کاربران IAM متعلق به کارکنان شرکت JetBrains که از این سرویس استفاده می‌کردند.
- فایل‌های ذخیره‌شده در bucketهای S3 در حساب‌های AWS شرکت JetBrains که Cadence از آنها استفاده می‌کرد.
همچنین هشدار داده شد که مهاجمان ممکن است به کد منبعی که از پروژه‌های PyCharm با سرور متأثر همگام شده بود دسترسی یافته باشند. این شامل سناریوهایی است که در آن کاربران برای اجرا در Cadence به PyCharm اتکا کرده‌اند تا فایل‌های پروژه را آپلود یا همگام‌سازی کنند؛ به این معنا که این اقدامات ممکن است ناخواسته کد، اعتبارنامه‌ها یا پیکربندی‌ها را افشا کرده باشند.
مشخص نیست چه کسی پشت این فعالیت قرار دارد. با این حال اعلام شد که نفوذ بین 8 تا 24 اوت 2026 رخ داده است. سرور Cadence که مورد بهره‌برداری قرار گرفته بود («api.cadence.jetbrains.com») از آن زمان از دسترس خارج شده است. شرکت اذعان کرد که سرور مزبور می‌بایست به‌عنوان بخشی از تلاش‌های این شرکت برای پاسخ‌گویی به آسیب‌پذیری‌ها پچ می‌شد، اما جزئیاتی درباره چرایی انجام‌نشدن این کار ارائه نکرد.
همچنین تمام توکن‌های دسترسی مورداستفاده توسط افزونه JetBrains Cadence در PyCharm برای اتصال به Cadence باطل شده است. شاخص‌های نفوذ زیر منتشر شده است –
- فعالیتی که از 8 اوت 2026 به بعد رخ داده است، به‌ویژه احراز هویت یا فعالیت با استفاده از اعتبارنامه‌هایی که پیش‌تر در Cadence ذخیره شده یا از طریق آن قابل دسترسی بوده‌اند.
-
نشانی‌های IP مرتبط با فعالیت بهره‌برداری مشاهده‌شده:
- 150.109.230.104
- 43.153.227.206
- 62.210.127.48
- 210.247.242.190
- 15.235.225.205
- 152.233.30.18
علاوه بر چرخش همهٔ اعتبارنامه‌ها، از کاربران خواسته شده است سامانه‌های متصل را برای فعالیت‌های مشکوک بازبینی کنند؛ به‌طور مشخص حساب‌های AWS، سطل‌های S3، محیط‌های استقرار، رجیستری‌های package/container، و سایر سامانه‌هایی که با استفاده از اعتبارنامه‌های ابطال‌شده قابل دسترسی هستند؛ روی مخازن کد منبع برای هرگونه تغییر غیرمجاز در بازهٔ زمانی مذکور audit انجام دهند؛ و همهٔ اجراها را بالقوه غیرقابل‌اعتماد تلقی کنند.
به‌گفتهٔ شرکت JetBrains، «پیامدهای محتملِ افشای داده‌های شخصی شامل افزایش خطر فیشینگ هدفمند، مهندسی اجتماعی، جعل هویت، و دیگر ارتباطات ناخواسته یا مخرب با استفاده از نام‌ها و نشانی‌های ایمیلی که تحت تأثیر قرار گرفته‌اند است».
