悪用が進むGiteaの深刻なRCE脆弱性

開発者向けプラットフォームでオープン登録を許可することは、一般的にオンボーディングの手続きを簡素化します。しかしGiteaに関しては、この利便性が思わぬ形で仇となり、深刻な脆弱性を誰でも容易に悪用できる侵入経路に変えてしまいました。Shadowserver Foundationは先ごろ、インターネットに公開されているGiteaサーバーが8,393台にのぼることを特定したと発表しています。8月27日時点で、これらのシステムはCVSS 3.1スコア9.8という深刻な脆弱性CVE-2026-60004に対して完全に無防備な状態にありました。その結果、これら公開状態のサーバーは現在、リモートコード実行(RCE)攻撃に絶えずさらされています。

悪用の仕組み

この重大な欠陥は、リポジトリへの書き込み権限を持つユーザーであれば誰でも、深刻な被害をもたらせてしまうというものです。攻撃者はdiffpatch APIを直接通じて、巧妙に細工した悪意あるデータを送信します。これにより、Giteaシステムアカウントの昇格された権限を利用して任意のコマンドを実行できてしまいます。この極めて危険な仕組みにより、攻撃者は悪意あるGitフックを密かにインストールし、実行させることが可能になります。要するに、これは特定のリポジトリ操作の際に自動的に実行されるよう設計された、バックグラウンドのユーティリティスクリプトです。

デフォルト設定の危険性

技術的には、この脆弱性の悪用には書き込み権限が厳密に必要です。しかしGiteaはデフォルトでユーザーの自律的な登録を有効にしています。そのため、事前の認証情報を一切持たない悪意ある攻撃者でも、容易に新規アカウントを作成できてしまいます。その後、個人用リポジトリを作成すれば、この脆弱性を突くために必要な権限を即座に得られてしまうのです。この危険なシナリオにより、標準的なデフォルト設定で稼働しているサーバーに対する攻撃のハードルは大幅に下がっています。

パッチ適用の遅れと続くリスク

Giteaは7月27日にバージョン1.27.1をリリースし、CVE-2026-60004を正式に修正しました。開発チームは管理者に対し、脆弱なサーバーを直ちに更新するよう強く呼びかけていました。しかし、この重要なパッチが利用可能になっていたにもかかわらず、1か月が経過した時点でも数千台のシステムが危険な未対策状態のままでした。Shadowserverはインターネットの継続的なスキャンを行っており、公開状態にある脆弱なGiteaインスタンスを検出するたびに、責任を持つ所有者へ通知を続けています。

政府機関の指示と実際に確認された悪用

この脅威の深刻さを裏付けるように、米国サイバーセキュリティ・インフラセキュリティ庁(CISA)は8月25日、CVE-2026-60004を実際に悪用が確認された脆弱性のカタログに正式に追加しました。同庁はすべての連邦文民機関に対し、8月28日までに必要なパッチを適用するよう明確に命じています。同庁は具体的な攻撃手法について公にはまだ詳しく説明していませんが、これまでの報告では、悪意ある攻撃者が無防備なGiteaサーバーに暗号資産マイナーを積極的にインストールしていることが指摘されています。

必須の緩和策

セキュリティ専門家は、すべてのGitea管理者に対し、サーバーを直ちにバージョン1.27.1以降にアップグレードするよう強く推奨しています。この重要なアップデートにより、diffpatch API経由のコマンドインジェクションの可能性は確実に排除されます。最終的には、現在進行中の実際の攻撃で悪用されている、まさにその経路を確実に塞ぐことになります。この緊急の確認作業は、デフォルトの自律的なユーザー登録機能が有効なままになっている、インターネットからアクセス可能なあらゆるインストール環境において、とりわけ重要です。