Более 8300 публичных серверов Gitea подвержены критической уязвимости CVE‑2026‑60004

В начале сентября аналитический центр The Shadowserver Foundation опубликовал результаты сканирования публичных IP‑адресов, в ходе которого было обнаружено более 8300 инстансов популярного self‑hosted сервиса Gitea, доступных без ограничений из Интернета. Все они уязвимы к недавно раскрытой критической ошибке CVE‑2026‑60004, которая уже используется в реальных атаках. Сервис Gitea широко применяется для хостинга Git‑репозиториев в корпоративных и открытых проектах, поэтому масштаб проблемы вызывает обеспокоенность у специалистов по кибербезопасности.

Уязвимость была найдена исследователем Shai Rod из Salesforce и связана с API‑endpoint diffpatch, предназначенным для создания патчей между версиями файлов. При наличии прав записи в репозиторий злоумышленник может отправить специально сформированный патч, который приводит к записи вредоносного Git‑хука на сервере. Хук исполняется от имени системного пользователя, под которым работает процесс Gitea, что дает полный доступ к оболочке.

Для эксплуатации CVE‑2026‑60004 требуется лишь аутентификация с правом записи, но в большинстве установок Gitea включена открытая регистрация. Это позволяет атакующему создать собственный аккаунт, открыть репозиторий и сразу воспользоваться багом, минуя необходимость кражи чужих учётных данных. По данным CISA, уязвимость уже попала в каталог KEV, а в сети появились сообщения о криптомайнерах, установленных через данный эксплойт.

Разработчики Gitea выпустили исправление в версии 1.27.1 27 июля 2026 года и настоятельно рекомендовали всем администраторам обновиться как можно быстрее. Несмотря на это, сканирование The Shadowserver Foundation в конце августа выявило 8393 уязвимых IP‑адреса, преимущественно в Китае, Германии и США. Американским федеральным ведомствам предписано установить патч в течение трёх дней, однако многие независимые провайдеры пока остаются незащищёнными.

Инцидент подчёркивает риски, связанные с открытой регистрацией и автоматическим включением функций без обязательного контроля доступа. Операторам self‑hosted Git‑платформ рекомендуется отключать публичную регистрацию, ограничивать права записи и регулярно проверять наличие обновлений безопасности. В противном случае аналогичные уязвимости могут стать входными точками для широкомасштабных компромиссов.