Gitのプラットフォーム「Gitea」に存在する重大なコードインジェクション脆弱性CVE-2026-60004が、攻撃者によって悪用され始めていることが分かりました。CISAは火曜日、既知の悪用された脆弱性（KEV）カタログにこの脆弱性を追加したことを確認しました。
KEVの記載内容には、この攻撃の詳細に関する情報や参照先は含まれていません。しかし、ロシアの共同執筆型ブログ「Habr」に投稿されたインシデントレポートによれば、あるフルスタック開発者を名乗る人物が、自組織のセルフホスト型Giteaインスタンスをこの脆弱性を突いて侵害され、クリプトマイニングソフトウェアを実行された、と報告しています。
CVE-2026-60004について
Giteaは、Go言語で構築されたオープンソースのGitプラットフォームで、ユーザーが自前のサーバー上でGitリポジトリをホスト・管理できるようにするものです。
CVE-2026-60004は、攻撃者がGiteaのdiffpatchエンドポイントを悪用し、リポジトリが制御するコンテンツからGitフックをインストール・実行できてしまう脆弱性です。
「リポジトリに対する通常の書き込み権限を持つ攻撃者は、GiteaのOSユーザーとして任意のシェルコマンドを実行できてしまいます」と、メンテナーらは先月、この脆弱性がGitea v1.27.1で修正された後に説明しています。
「これはGiteaのサービスアカウントとしてのリモートコード実行に相当します。オープン登録が有効になっている場合、通常のアカウントを登録してリポジトリを作成すれば、未認証の訪問者でもこの攻撃を実行できてしまいます」
この脆弱性はメンテナーに対して非公開の形で報告されていましたが、公開されたアドバイザリにはPoC（概念実証）エクスプロイトが含まれていました。
デプロイの隔離状況やGiteaのOSユーザーの権限次第では、悪用に成功した場合、Giteaのメイン設定ファイル、アプリケーションおよびプロセス環境のシークレット、データベースの認証情報とその内容、OAuthおよび連携用の認証情報などが露出する恐れがあります。
CVE-2026-60004の悪用を検知
CVE-2026-60004によって自身のGiteaインスタンスが侵害されたことを発見したこの開発者は、ホスティング事業者から、仮想サーバーのCPU使用率が長時間にわたり高止まりしていると警告を受けたことがきっかけでした。
このサーバーは古いバージョンのGiteaを稼働させており、ユーザー登録がオープンな状態で、メール確認やCAPTCHAも設定されていませんでした。そのため、自動化されたスキャナーがアカウントを登録し、自らのリポジトリを作成した上で、エクスプロイトチェーンを発動させることができました。
この攻撃はGiteaのコンテナ内でgitユーザーとしてコードを実行し、まずRCE（リモートコード実行）の「証拠」をGitブランチに書き戻した後、汎用のシェルローダーをダウンロードし、続いてCPUを「奪い合う」ようなクリプトマイナー的なドロッパーをダウンロードしました。
「Giteaはdocker上で稼働していたため、RCE後のコードはそのコンテナ内に収まりました。コンテナは特権モードではなく、再起動後はマイナーのようなペイロードを持つプロセスは生き残りませんでした」とこの開発者は述べています。
「調査の結果、cron、systemd、あるいは新規のSSHキーを通じた永続化の痕跡は見つかりませんでした」
侵害の範囲を把握した後、この開発者はGiteaをv1.27.2にアップグレードし、オープン登録を無効化、追加のサインアップ手段を削除し、すべてのシークレットとトークンをローテーションした上で、Dockerのネットワーク設定を厳格化し、コンテナからの外部インターネットへのアウトバウンド通信をブロックしました。
この開発者によれば、攻撃のうち実際に活動が行われていた時間はおよそ11秒だったとのことです。
Giteaの管理者は、自身のインスタンスを修正済みバージョン（最新版は1.27.2）にアップグレードし、サーバーが侵害されていないかどうかを確認する必要があります。
CISAは、米連邦文民機関に対し、2026年8月28日までにこれを実施するよう命じています。
翻訳元: https://www.helpnetsecurity.com/2026/08/26/gitea-cve-2026-60004-exploited-in-the-wild/
