Der Fehler steckt im diffpatch-Endpunkt von Gitea. Das Sicherheitsteam des Projekts beschreibt das Problem so: Der Endpunkt lasse sich missbrauchen, um einen Git-Hook aus Inhalten zu installieren und auszuführen, die vom Repository kontrolliert werden. Ein Angreifer mit gewöhnlichem Schreibzugriff auf ein Repository könne dadurch beliebige Shell-Befehle als Gitea-Systembenutzer ausführen.
Entscheidend für die praktische Ausnutzbarkeit ist die Voreinstellung vieler Installationen. “Bei standardmäßig offener Registrierung kann sich ein unauthentifizierter Besucher den nötigen Schreibzugriff verschaffen, indem er ein Konto anlegt und ein Repository erstellt”, so das Gitea-Sicherheitsteam. Damit reduziert sich die vermeintliche Hürde “authentifizierter Zugriff” auf einen einfachen Registrierungsvorgang.
Gemeldet wurde CVE-2026-60004 von Shai Rod, Sicherheitsforscher bei Salesforce. Gitea veröffentlichte am 27. Juli die Version 1.27.1, die die Lücke schließt, und empfahl allen Betreibern ein schnellstmögliches Upgrade ihrer Server.
Wie groß die Angriffsfläche ist, lässt sich nur grob abschätzen. Der Sicherheitsdienst Shadowserver verzeichnet derzeit knapp 5.000 im Internet erreichbare Gitea-Instanzen. Wie viele davon Honeypots sind oder bereits gegen Angriffe auf CVE-2026-60004 abgesichert wurden, ist unklar.
CISA nahm die Schwachstelle am Dienstag in den KEV-Katalog der bekanntermaßen ausgenutzten Sicherheitslücken auf. Die zivilen US-Bundesbehörden (Federal Civilian Executive Branch) müssen ihre Systeme gemäß der Binding Operational Directive 26-04 innerhalb von drei Tagen, also bis zum 28. August, absichern.
Nähere Angaben zu den beobachteten Angriffen machte die Behörde nicht. Auslöser dürften Berichte über eine aktive Ausnutzung in freier Wildbahn gewesen sein, bei der Angreifer auf ungepatchten Gitea-Servern Schadsoftware zum Schürfen von Kryptowährungen ausrollten.
“Diese Art von Schwachstelle ist ein häufiger Angriffsvektor für böswillige Cyberakteure und stellt ein erhebliches Risiko für die Bundesbehörden dar”, warnte CISA. Zwar gelte BOD 26-04 ausschließlich für FCEB-Behörden, doch die Behörde ermutigt sämtliche Organisationen zu einem risikobasierten Schwachstellenmanagement und dazu, die Behebung von Lücken aus dem KEV-Katalog vorrangig zu behandeln.
Es ist nicht die erste Gitea-Schwachstelle, die dieses Jahr in Angriffen auftaucht: Im Juli wurden Angreifer dabei beobachtet, wie sie eine kritische Lücke zur Umgehung der Authentifizierung (CVE-2026-20896) ausnutzten. Ziel waren Gitea-Instanzen, bei denen die Authentifizierung über Reverse-Proxy-Header wie X-WEBAUTH-USER aktiviert war.