Fakty i kontekst
Co wiemy
25 sierpnia CISA umieściła CVE-2026-60004 w katalogu Known Exploited Vulnerabilities, co oznacza potwierdzone wykorzystanie podatności w realnych atakach. Federalne instytucje USA otrzymały obowiązek zastosowania środków zaradczych, a pozostali operatorzy dostali silny sygnał priorytetu.
Oficjalny advisory Gitea wskazuje wersje od 1.17 do 1.27.0 jako podatne i 1.27.1 jako naprawioną. Atakujący potrzebuje zwykłego prawa zapisu do repozytorium; przy domyślnej otwartej rejestracji może sam utworzyć konto i repozytorium.
Nasza analiza
Mechanizm i skutki
Endpoint diffpatch nakłada kontrolowaną przez użytkownika łatkę w tymczasowym repozytorium. Specjalnie zbudowana kolizja może umieścić wykonywalny plik w katalogu hooks, po czym Git uruchamia go jako konto systemowe Gitea. To pozwala czytać sekrety aplikacji, repozytoria, dane bazy i poświadczenia integracji.
Podstawowym działaniem jest aktualizacja do 1.27.1 lub nowszej wersji. Do czasu wdrożenia poprawki należy ograniczyć dostęp do instancji i możliwość tworzenia repozytoriów, ale samo wyłączenie rejestracji nie chroni przed złośliwym albo przejętym istniejącym kontem.
Granice wniosku
Co może zmienić ocenę
Katalog CISA potwierdza eksploatację, lecz nie opisuje skali kampanii ani ofiar. Nie każda instancja jest jednakowo narażona: znaczenie mają dostępność z internetu, konfiguracja rejestracji, wersja Git i izolacja konta usługi.
Po aktualizacji organizacje powinny sprawdzić nietypowe użycie diffpatch, zmiany hooków i aktywność kont z prawem zapisu, a przy podejrzeniu kompromitacji rotować klucze oraz tokeny. Sam patch usuwa drogę wejścia, ale nie cofa działań wykonanych wcześniej.