Der technische Kern der Schwachstelle liegt im diffpatch-Endpunkt von Gitea. „Gieteas diffpatch-Endpunkt kann missbraucht werden, um einen Git-Hook aus repository-kontrollierten Inhalten zu installieren und auszuführen", heißt es in einem Hinweis, den Gitea im vergangenen Monat veröffentlicht hat. Und weiter: „Bei standardmäßig offener Registrierung kann ein nicht authentifizierter Besucher den erforderlichen Schreibzugriff erlangen, indem er ein Konto registriert und ein Repository anlegt."
CISA beschreibt den Fehler als Code-Injection-Schwachstelle: Ein Angreifer mit Schreibzugriff auf ein Repository sende einen bösartigen Patch an den diffpatch-API-Endpunkt, platziere darüber einen ausführbaren Git-Hook und führe Shell-Befehle unter dem Gitea-Dienstkonto aus.
Zwar erfordert der verwundbare API-Aufruf grundsätzlich Authentifizierung und Schreibrechte, doch genau diese Hürde entfällt durch die voreingestellte offene Registrierung praktisch vollständig – ein Umstand, auf den bereits frühere Berichterstattung von The Hacker News hingewiesen hatte.
Einen konkreten Angriffsfall dokumentiert ein Full-Stack-Entwickler namens Andrey (@Causelof) in einer Analyse, die er kürzlich auf der russischen Blogging-Plattform Habr veröffentlichte. Seine Gitea-Instanz wurde demnach von einem unbekannten Akteur über CVE-2026-60004 angegriffen, der einen Dropper mit einer Nutzlast platzierte, die einem Kryptowährungs-Miner ähnelt.
Aufgefallen war der Vorfall erst durch eine E-Mail des Hosting-Anbieters HOSTKEY. Der Provider teilte mit, der virtuelle Server habe über einen längeren Zeitraum mehr als 70 Prozent der Prozessorkapazität ausgelastet und damit gegen die Nutzungsbedingungen verstoßen; daraufhin begrenzte HOSTKEY die verfügbaren CPU-Ressourcen des VPS vorübergehend.
Als entscheidenden Faktor benennt Andrey die Konfiguration seiner Instanz: „Dass hier die offene Registrierung aktiviert ist, ist gerade wegen ihres Zusammenhangs mit der Schwachstelle bedeutsam", schreibt er. „Ein neuer Benutzer konnte sich registrieren, ein eigenes Repository anlegen und darin die nötigen Schreibrechte erhalten." Der SSH-Zugang von Gitea sei nicht nach außen erreichbar gewesen – der Angriffsvektor lief über HTTPS.
Welche Schadsoftware genau in der zweiten Stufe nachgeladen wurde, bleibt offen. Der Entwickler hat den Inhalt nach eigenen Angaben nicht analysiert: „Ich verfüge über keine bestätigten Informationen zum Mining-Pool, zur Wallet, zur Miner-Familie oder zum konkreten Betreiber." Der beobachtete Anstieg der CPU-Last passt jedoch zu einer Cryptojacking-Kampagne gegen verwundbare Gitea-Instanzen.
Ob CISA die Schwachstelle wegen genau dieses Vorfalls in den KEV-Katalog aufgenommen hat oder ob der Behörde Hinweise auf Angriffe gegen ungepatchte Gitea-Server in den USA vorliegen, ist nicht bekannt. Administratoren betroffener Installationen bleibt der Wechsel auf Gitea 1.27.1.