Een kritieke kwetsbaarheid in Gitea wordt actief misbruikt.

CISA waarschuwt voor actieve exploitatie van CVE-2026-60004 in het zelfgehoste ontwikkelplatform Gitea. De kwetsbaarheid zou aanvallers in staat kunnen stellen commando's op de server uit te voeren en is verholpen in versie 1.27.1.

Organisaties die hun eigen Gitea-installaties beheren, worden dringend verzocht de softwareversie en -configuratie te controleren.

Het Amerikaanse agentschap voor cyberbeveiliging CISA heeft CVE-2026-60004 toegevoegd aan de catalogus van actief misbruikte kwetsbaarheden, de zogenaamde Known Exploited Vulnerabilities. Dit betekent dat de autoriteit van mening is dat er betrouwbaar bewijs is van daadwerkelijk misbruik. CISA's KEV-vermelding voor CVE-2026-60004

• 

  ADVERTENTIE

  
  

• 

  GESPONSORD

  
  

• 

  ADVERTENTIE

  
  

• 

  EIGEN INHOUD

  
  

Een kwaadaardige Git-hook kan op de server worden uitgevoerd.

De kwetsbaarheid zit in Gitea's diffpatch-functie. Via een speciaal ontworpen patch kan een gebruiker met schrijftoegang tot een repository een uitvoerbare Git-hook installeren.

Wanneer de hook is geactiveerd, kan de aanvaller willekeurige commando's uitvoeren met dezelfde besturingssysteemrechten als de Gitea-service.

Afhankelijk van hoe goed de installatie is geïsoleerd, kan een succesvolle aanval toegang verschaffen tot:

• Het configuratiebestand en de applicatiegeheimen van Gitea.
• Database-informatie en database-inhoud.
• Gemonteerde codeopslagplaatsen.
• OAuth- en integratiegegevens.
• De geheimen schuilen in de omgevingsvariabelen van het proces.
• Andere interne systemen die de server kan bereiken.

De kwetsbaarheid heeft een ernstclassificatie van 'kritiek' gekregen en een CVSS-score van 9,8. Het officiële veiligheidsadvies van Gitea

Open inschrijving kan de drempel verlagen.

Voor de aanval is doorgaans een account nodig dat schrijftoegang heeft tot een repository.

Op installaties waar open zelfregistratie is ingeschakeld, kan een externe bezoeker echter een regulier account aanmaken, een nieuwe repository opzetten en zo de benodigde toegang verkrijgen.

Dit betekent dat de aanval in de praktijk kan worden uitgevoerd zonder een bestaand gebruikersaccount op installaties die deze configuratie gebruiken.

Om de exploit te laten werken, is Git 2.32 of later vereist, evenals een ingeschakelde versie. diffpatch- een route en een tijdelijke bestandsruimte die zowel beschrijfbaar als uitvoerbaar is.

Versie 1.27.1 bevat de oplossing.

De Veiligheidsraad meldt dat Gitea-versies vanaf 1.17 tot en met ouder dan 1.27.1 getroffen zijn. De oplossing is opgenomen in Gitea 1.27.1, die op 27 juli 2026 is uitgebracht.

Gitea raadt alle gebruikers aan om zo snel mogelijk te upgraden. Informatie van Gitea over versie 1.27.1

Updaten moet worden gecombineerd met incidentbeheer.

Aangezien de kwetsbaarheid nu actief wordt misbruikt, zou een upgrade niet de enige oplossing moeten zijn.

Organisaties dienen ook het volgende te doen:

• Controleer alle Gitea-installaties met internetverbinding en hun versies.
• Upgrade naar versie 1.27.1 of een latere beschikbare versie.
• Beperk of sluit open gebruikersregistratie af als de functie niet nodig is.
• Bekijk recent aangemaakte accounts en repositories.
• Onderzoek onverwachte Git-hooks en wijzigingen in tijdelijke mappen.
• Controleer de Gitea-, systeem- en netwerklogboeken op ongebruikelijke commando-uitvoeringen.
• Vervang de inloggegevens voor applicaties, databases, OAuth en integraties als er een inbreuk wordt vermoed.
• Isoleer de server en voer een volledige incidentanalyse uit in geval van bevestigde afwijkingen.

Gitea Het wordt vaak gebruikt als een zelfgehost alternatief voor cloudgebaseerde ontwikkelplatformen. Een inbreuk kan daarom gevolgen hebben voor de broncode, inloggegevens, geautomatiseerde buildprocessen en gekoppelde productieomgevingen.