CISA warnt vor aktiver Ausnutzung der Gitea-Lücke CVE-2026-60004

CISA hat am 25. August 2026 bestätigt, dass die kritische Schwachstelle CVE-2026-60004 in der Plattform zur Verwaltung von Git-Repositories Gitea aktiv ausgenutzt wird, und sie in den Katalog Known Exploited Vulnerabilities (KEV) aufgenommen. Die Schwachstelle mit einem CVSS-Score von 9,8 ermöglicht es einem Angreifer mit Schreibrechten in einem Repository, beliebige Befehle auf dem Server im Kontext des Systemkontos von Gitea auszuführen. Besonders gefährlich ist, dass die Standardkonfiguration von Gitea eine offene Registrierung zulässt. Damit benötigt ein Angreifer keine zuvor erlangten Zugangsdaten – es genügt, einen Account zu registrieren und ein eigenes Repository anzulegen. US-Bundesbehörden sind verpflichtet, die Schwachstelle bis zum 28. August 2026 zu beheben. Allen Gitea-Administratoren wird dringend empfohlen, umgehend auf Version 1.27.1 oder höher zu aktualisieren.

Mechanismus der Ausnutzung

Die Schwachstelle betrifft den API-Endpoint diffpatch, der für die Verarbeitung von Patches vorgesehen ist. Ein Angreifer sendet einen speziell präparierten, bösartigen Patch an diesen Endpoint, wodurch ein ausführbarer Git hook aus Repository-kontrollierten Inhalten eingeschleust werden kann. Nach der Installation des Hooks erhält der Angreifer die Möglichkeit, beliebige Shell-Befehle auf Betriebssystemebene im Kontext des Dienstkontos von Gitea auszuführen.

Formal erfordert der Aufruf der verwundbaren API eine Authentifizierung und Schreibrechte in einem Repository. Auf Instanzen mit Standardkonfiguration wird die Angriffskette jedoch trivial:

• Der Angreifer registriert einen neuen Account (offene Registrierung ist standardmäßig aktiviert)
• Er erstellt ein eigenes Repository und erhält darin automatisch Schreibrechte
• Er sendet den bösartigen Patch an den Endpoint diffpatch
• Der eingeschleuste Git hook führt beliebigen Code auf dem Server aus

Nach vorliegenden Informationen sind alle Gitea-Versionen ab 1.17 verwundbar. Die Korrektur wurde in Version 1.27.1 veröffentlicht. Die Entdeckung der Schwachstelle wird dem Sicherheitsforscher mit dem Pseudonym NightRang3r zugeschrieben.

Gefährliche Standardkonfiguration

Der Schlüsselfaktor, der diese Schwachstelle von einer nur mit Privilegien ausnutzbaren in eine de facto ohne vorherige Authentifizierung zugängliche verwandelt, ist die Menge an Konfigurationsparametern, mit denen Gitea standardmäßig eine offene Umgebung schafft. Laut der offiziellen Gitea-Dokumentation sind in der Sektion [service] insbesondere folgende Parameter kritisch:

• DISABLE_REGISTRATION = false — Registrierung neuer Benutzer ist erlaubt
• REGISTER_EMAIL_CONFIRM = false — Bestätigung der E-Mail-Adresse ist nicht erforderlich
• ENABLE_OPENID_SIGNUP = true — Registrierung über OpenID ist erlaubt
• REQUIRE_SIGNIN_VIEW = false — das Anzeigen von Seiten und die Nutzung der API erfordern keine Anmeldung

Diese Kombination bedeutet, dass jeder externe Benutzer ohne jegliche Einschränkung einen Account erstellen, ein Repository mit Schreibrechten erhalten und die Schwachstelle ausnutzen kann. Der Angriffsvektor funktioniert über HTTPS, daher stellt ein fehlender öffentlicher SSH-Zugriff auf Gitea keinen Schutz dar.

Anzeichen für Ausnutzung

CISA hat keine Details zu konkreten Vorfällen der Ausnutzung offengelegt und nicht angegeben, welche Gruppen hinter den Angriffen stehen. Die Aufnahme der Schwachstelle in den KEV-Katalog bedeutet jedoch, dass der Behörde belastbare Hinweise auf eine aktive Ausnutzung vorliegen.

Unabhängig davon wurde auf der Plattform Habr ein Beitrag veröffentlicht, in dem ein Entwickler die Kompromittierung seiner eigenen Gitea-Instanz über CVE-2026-60004 beschreibt. Diese Informationen stützen sich allerdings auf eine einzelne, nicht verifizierte Quelle und sind weder von unabhängigen Forschern noch vom Hersteller bestätigt. Entsprechend sollten die Details des beschriebenen Vorfalls mit Vorsicht betrachtet werden.

Bewertung der Auswirkungen

Gitea ist eine populäre, selbst gehostete Plattform zur Verwaltung von Git-Repositories, die weit verbreitet in kleinen und mittleren Entwicklungsteams, Bildungseinrichtungen und Open-Source-Projekten eingesetzt wird. Das Ausmaß der potenziellen Auswirkungen wird durch mehrere Faktoren bestimmt:

• Breites Spektrum verwundbarer Versionen — betroffen sind alle Versionen ab 1.17, was einen erheblichen Anteil der bestehenden Installationen umfasst
• Niedrige Einstiegshürde für Angreifer — bei Standardkonfiguration ist für die Ausnutzung kein vorheriger Zugriff erforderlich
• Kritische Folgen — Codeausführung auf Betriebssystemebene eröffnet den Weg zur vollständigen Kompromittierung des Servers, zum Diebstahl von Quellcode, zum Einschleusen bösartiger Backdoors in Repositories und zu lateraler Bewegung in der Infrastruktur
• Risiko für Supply-Chain-Angriffe — eine Kompromittierung des Code-Management-Servers kann zur Einschleusung von Schadcode in zu erstellende Artefakte führen

Empfehlungen zum Schutz

Die Reaktionspriorität ist maximal. Empfohlene Maßnahmen:

1. Aktualisieren Sie Gitea auf Version 1.27.1 oder neuer. Dies ist die einzige vollwertige Möglichkeit, die Schwachstelle zu beseitigen.
2. Falls ein sofortiges Update nicht möglich ist, ergreifen Sie folgende temporäre Maßnahmen:
   • Setzen Sie DISABLE_REGISTRATION = true, um die Registrierung neuer Benutzer zu blockieren
   • Setzen Sie REQUIRE_SIGNIN_VIEW = true, um den Zugriff auf die API zu beschränken
   • Deaktivieren Sie ENABLE_OPENID_SIGNUP
   • Aktivieren Sie REGISTER_EMAIL_CONFIRM
3. Führen Sie einen Audit kürzlich registrierter Accounts und erstellter Repositories auf verdächtige Aktivitäten durch.
4. Überprüfen Sie das Vorhandensein ungewöhnlicher Git hooks in Repositories, insbesondere solcher mit ausführbaren Skripten.
5. Überwachen Sie die CPU-Auslastung – ein anomaler Ressourcenverbrauch kann auf ausgerollten Schadcode hinweisen.
6. Beschränken Sie den Netzwerkzugang zur Gitea-Instanz per Firewall, sofern die Plattform nicht für die öffentliche Nutzung vorgesehen ist.

Angesichts der von CISA bestätigten aktiven Ausnutzung und des CVSS-Scores von 9,8 sollte das Update auf Gitea Version 1.27.1 innerhalb von Stunden und nicht erst in einigen Tagen erfolgen. Für Instanzen, bei denen sich das Update verzögert, ist die Deaktivierung der offenen Registrierung die minimal notwendige Maßnahme, um die am leichtesten zugängliche Angriffskette zu unterbrechen. Sie beseitigt jedoch nicht die Schwachstelle für Benutzer, die bereits über Schreibzugriff verfügen.