Die selbstgehostete Git-Plattform Gitea steht unter aktivem Beschuss: Die US-Cyberbehörde CISA hat die kritische Schwachstelle CVE-2026-60004 am 25. August 2026 in ihren Katalog bekannter ausgenutzter Sicherheitslücken (KEV) aufgenommen und Bundesbehörden zum Patchen bis zum 28. August verpflichtet. Ende August waren laut Shadowserver noch rund 8.400 aus dem Internet erreichbare Gitea-Server verwundbar.
Was die Lücke so gefährlich macht
CVE-2026-60004 ist eine Code-Injection-Schwachstelle (CWE-94) mit dem Höchstwert CVSS 9.8. Über den API-Endpunkt diffpatch kann ein Angreifer mit Schreibrechten auf ein Repository einen manipulierten Patch einschleusen, einen ausführbaren Git-Hook platzieren und beliebige Shell-Befehle mit den Rechten des Gitea-Dienstkontos ausführen. Brisant: In der Standardkonfiguration ist die offene Selbstregistrierung aktiv. Damit kann sich ein unauthentifizierter Angreifer selbst ein Konto anlegen, ein Repository erstellen und die Lücke ohne Vorwissen auslösen.
Ausnutzung in freier Wildbahn
Sicherheitsforscher berichten von automatisierten Scannern, die verwundbare Instanzen in Sekunden kompromittieren und einen Krypto-Miner-ähnlichen Dropper nachladen. Betroffen sind laut CISA und Gitea alle Versionen ab 1.17. Der Hersteller hat die Lücke mit Gitea 1.27.1 geschlossen, indem das temporäre Repository für Patch-Operationen nun als nicht-bare Klon erzeugt wird.
Das sollten Administratoren jetzt tun
- Umgehend auf Gitea 1.27.1 oder neuer aktualisieren.
- Offene Selbstregistrierung deaktivieren, sofern nicht zwingend nötig.
- Gitea-Instanzen nicht ungeschützt ins Internet stellen; Zugriff einschränken.
- Server auf unbekannte Konten, fremde Repositories und verdächtige Git-Hooks prüfen.
Quellen: BleepingComputer, The Hacker News, SecurityWeek, Help Net Security, Gitea Blog.
