米サイバーセキュリティ・インフラセキュリティ庁(CISA)によると、セルフホスト型Gitサービス「Gitea」に存在する深刻度クリティカルの脆弱性が、攻撃者によって実際に悪用されているとのことです。
Giteaは、クラウドホスト型のGitHubやGitLab SaaS(Software as a Service)プラットフォームと同様、DevOpsツール一式を提供していますが、セルフホスト型のソフトウェア開発プラットフォームとして利用されるよう設計されています。
CVE-2026-60004として追跡されているこのコードインジェクションの脆弱性は、Salesforceのセキュリティ研究者Shai Rod氏によって報告されたもので、脆弱なサーバー上でホストされているリポジトリへの書き込み権限を持つ認証済みユーザーが、diffpatch APIエンドポイント経由で悪意あるパッチを送信することで、Giteaサービスアカウントの権限で任意のシェルコマンドを実行できてしまうというものです。
しかし、デフォルト設定のGiteaインスタンスでは自己登録機能が有効になっているため、認証されていない攻撃者であっても、アカウントを登録して新規リポジトリを作成するだけで、事前の認証情報なしにこの脆弱性を悪用できてしまいます。
「Giteaのdiffpatchエンドポイントは、リポジトリが制御するコンテンツからGitフックをインストール・実行する形で悪用される可能性があります。リポジトリへの通常の書き込み権限を持つ攻撃者は、GiteaのOSユーザーとして任意のシェルコマンドを実行できます」と、Giteaのセキュリティチームは説明しています。
「デフォルトでオープン登録が有効になっている場合、認証されていない訪問者であっても、アカウントを登録してリポジトリを作成するだけで、必要な書き込み権限を得ることができてしまいます」
Giteaは7月27日にバージョン1.27.1をリリースし、CVE-2026-60004に対処するとともに、ユーザーに対しできるだけ早くサーバーをアップグレードするよう呼びかけています。
サイバーセキュリティ監視団体Shadowserverは現在、インターネット上に公開されているGiteaインスタンスが約5,000件存在すると追跡しています。ただし、そのうちどれだけがハニーポットであるか、あるいはすでにCVE-2026-60004への対策が施されているかについての情報はありません。
連邦政府機関には3日以内のパッチ適用を命令
火曜日、CISAはこの脆弱性を追加し、KEVカタログに登録するとともに、拘束的運用指令(BOD)26-04に基づき、米連邦文民行政府(FCEB)機関に対して3日以内、すなわち8月28日までにサーバーを保護するよう命じました。
同機関はこの脆弱性を狙った攻撃の詳細をこれ以上明らかにしていませんが、今回の措置は、攻撃者が未パッチのGiteaサーバーに暗号資産マイニングマルウェアを展開しているとする実際の悪用に関する報告を受けたものとみられます。
「この種の脆弱性は悪意あるサイバー攻撃者にとって頻繁に利用される攻撃経路であり、連邦政府機関全体に重大なリスクをもたらします」と、CISAは警告しています。
「BOD 26-04はFCEB機関のみに適用されるものですが、CISAはすべての組織に対し、リスクベースの脆弱性管理を採用し、KEVカタログに掲載された脆弱性の修正を優先するよう推奨します」
7月には、脅威アクターがX-WEBAUTH-USERなどのリバースプロキシ認証ヘッダーを有効にしたGiteaインスタンスを標的とした攻撃において、Giteaの深刻な認証バイパスの脆弱性(CVE-2026-20896)を悪用していたことも確認されています。
