CISA hat die Gitea-Schwachstelle CVE-2026-60004 in ihren KEV-Katalog aufgenommen und damit offiziell bestätigt, dass sie in der Praxis ausgenutzt wird. Für US-Bundesbehörden gilt eine verbindliche Frist: Sie müssen die Lücke bis zum 28. August schließen.
Betroffen ist eine der bekanntesten selbst gehosteten Entwicklungsplattformen. Gitea vereint Git-Hosting, Code-Review, Werkzeuge für die Zusammenarbeit im Team und CI/CD-Funktionen in einer Open-Source-Lösung, die Organisationen auf eigener Infrastruktur betreiben. Der Fehler wurde von den Gitea-Entwicklern Ende Juli mit der Veröffentlichung von Version 1.27.1 behoben.
Technisch beschreibt CISA das Problem als Schwachstelle für Code-Injektion. Nach Angaben der Behörde kann ein Angreifer, der über Schreibzugriff auf ein Repository verfügt, einen bösartigen Patch an den API-Endpunkt diffpatch übermitteln. Auf diesem Weg lässt sich ein ausführbarer Git-Hook einpflanzen, über den anschließend Shell-Befehle im Kontext des Gitea-Dienstkontos ausgeführt werden.
Die Voraussetzung des Schreibzugriffs begrenzt den Kreis möglicher Angreifer, macht die Lücke aber gerade in Umgebungen mit vielen Mitwirkenden heikel: Aus der Berechtigung, Code beizutragen, wird die Fähigkeit, Befehle auf dem Server auszuführen.
Öffentliche Berichte über eine Ausnutzung von CVE-2026-60004 gab es vor der CISA-Warnung offenbar nicht. Auch zu den Hintergründen der Angriffe liegen keine Erkenntnisse vor: Wer sie durchführt und welches Ziel damit verfolgt wird, ist bislang unklar.
Die Schwachstelle ist nicht der erste Fall dieser Art bei Gitea in den vergangenen Monaten. Anfang Juli wurden Organisationen bereits vor Angriffen auf eine andere Lücke in der Plattform gewarnt, die unter CVE-2026-20896 geführt wird. Bemerkenswert ist, dass diese Schwachstelle bis heute nicht in den KEV-Katalog von CISA aufgenommen wurde – obwohl also für zwei Gitea-Lücken Hinweise auf eine Ausnutzung existieren, ist nur eine davon Gegenstand der verbindlichen Patch-Vorgaben für US-Behörden.
Organisationen, die Gitea selbst betreiben, sollten den Versionsstand ihrer Installation prüfen: Version 1.27.1 enthält die Korrektur für CVE-2026-60004.