サイバーセキュリティ監視団体Shadowserverによると、8,300台を超えるインターネットに露出したGiteaインスタンスが、現在進行中のリモートコード実行攻撃で悪用されている重大なセキュリティ脆弱性に対して、いまだパッチを適用していない状態にあるといいます。
これらの攻撃で狙われているコードインジェクションの脆弱性（CVE-2026-60004）は、Salesforceのセキュリティ研究者Shai Rod氏によって報告されたもので、認証済みの攻撃者がdiffpatch APIエンドポイントを介して悪意のあるパッチを送信することで、Giteaサービスアカウントの権限で任意のシェルコマンドを実行できてしまうというものです。
この脆弱性の悪用に成功するには、脆弱なサーバー上でホストされているリポジトリへの書き込みアクセス権が必要ですが、Giteaはデフォルトで自己登録機能が有効になっているため、未認証の攻撃者でもアカウントを登録し、新しいリポジトリを作成することで、事前の資格情報なしにこの脆弱性を発火させることが可能です。
Giteaのセキュリティチームは次のように説明しています。「Giteaのdiffpatchエンドポイントは、リポジトリが制御するコンテンツからGitフックをインストール・実行するために悪用され得ます。リポジトリへの通常の書き込みアクセス権を持つ攻撃者は、GiteaのOSユーザーとして任意のシェルコマンドを実行できます」。さらに、「デフォルトで自己登録が開放されている環境では、未認証の訪問者であってもアカウントを登録しリポジトリを作成することで、必要な書き込みアクセス権を得られてしまいます」と付け加えています。
Giteaは7月27日にバージョン1.27.1をリリースし、CVE-2026-60004に対処するとともに、ユーザーに対してできるだけ早くサーバーをアップグレードするよう呼びかけました。
金曜日、インターネットセキュリティ監視団体のShadowserverは、インターネットに露出しているGiteaサーバー約8,400台が依然として未対策のままであり、進行中の攻撃に対して脆弱な状態が続いていると警告しました。
Shadowserverは次のように述べています。「私たちはCVE-2026-60004（コードインジェクション）に対して脆弱なGiteaインスタンスをスキャン・報告しており、2026年8月27日時点で8,393件のIPアドレスが脆弱であることが判明しました」。
火曜日には、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）も、この脆弱性を積極的に悪用されている脆弱性のカタログに追加し、拘束的運用指令（BOD）26-04に基づき、米連邦民間行政機関（FCEB）に対して3日以内、すなわち8月28日までにサーバーへパッチを適用するよう命じました。
同機関はこの脆弱性を狙った攻撃についての詳細をまだ公表していませんが、今回の対応は、攻撃者が未パッチのGiteaサーバーに暗号資産マイニングマルウェアを展開しているという実際の悪用に関する報告を受けたものとみられます。
CISAは「この種の脆弱性は悪意あるサイバー攻撃者にとって頻繁に狙われる攻撃経路であり、連邦政府の事業体に重大なリスクをもたらします」と警告しています。
7月には、脅威アクターが公式Gitea Dockerイメージに存在する別の重大な脆弱性（CVE-2026-20896）を悪用しているのも確認されています。これは、リバースプロキシ認証ヘッダーが有効になっているGiteaインスタンスに影響する認証バイパスの脆弱性です。
Giteaは、クラウドホスト型のGitHub、GitLab、Bitbucketといったコードホスティング・DevOpsプラットフォームに代わる、セルフホスト型の代替サービスであり、40万件以上の導入実績と約1,500人のコントリビューターを抱えています。
