Die Zahl stammt aus den Scans von Shadowserver: „Wir scannen und melden Gitea-Instanzen, die für CVE-2026-60004 (Code Injection) anfällig sind; am 27.08.2026 wurden 8.393 verwundbare IP-Adressen gefunden“, teilte die Organisation mit. Damit bleiben knapp 8.400 öffentlich erreichbare Server ungeschützt, während die Lücke bereits aktiv ausgenutzt wird.
Technisch setzt der Angriff am diffpatch-Endpunkt an. Gitea’s Sicherheitsteam beschreibt das Problem so: „Der diffpatch-Endpunkt von Gitea kann missbraucht werden, um einen Git-Hook aus Inhalten zu installieren und auszuführen, die vom Repository kontrolliert werden. Ein Angreifer mit gewöhnlichem Schreibzugriff auf ein Repository kann beliebige Shell-Befehle als Gitea-Systembenutzer ausführen.“ Und weiter: „Bei standardmäßig offener Registrierung kann ein nicht authentifizierter Besucher den erforderlichen Schreibzugriff erlangen, indem er ein Konto anlegt und ein Repository erstellt.“
Genau diese Voreinstellung senkt die Hürde erheblich: Formal ist Authentifizierung nötig, praktisch genügt eine Selbstregistrierung. Gemeldet wurde die Schwachstelle von Shai Rod, Sicherheitsforscher bei Salesforce.
Den Patch stellte das Projekt mit Version 1.27.1 am 27. Juli bereit, verbunden mit der Empfehlung, Server so schnell wie möglich zu aktualisieren.
Die US-Behörde CISA nahm CVE-2026-60004 in ihren Katalog bekannter ausgenutzter Schwachstellen auf und wies die zivilen US-Bundesbehörden per Binding Operational Directive 26-04 an, ihre Systeme innerhalb von drei Tagen — bis zum 28. August — zu patchen. Nähere Angaben zu den Angriffen machte die Behörde bislang nicht. Auslöser dürften Berichte über Ausnutzung in freier Wildbahn gewesen sein, bei der Angreifer auf ungepatchten Gitea-Servern Kryptomining-Schadsoftware ausbringen. „Diese Art von Schwachstelle ist ein häufiger Angriffsvektor für böswillige Cyber-Akteure und stellt ein erhebliches Risiko für die Bundesverwaltung dar“, warnte CISA.
Es ist nicht der erste Fall in kurzer Folge: Im Juli wurde beobachtet, wie Angreifer eine weitere kritische Schwachstelle missbrauchten — CVE-2026-20896 im offiziellen Gitea-Docker-Image, eine Umgehung der Authentifizierung, die Instanzen mit aktivierten Reverse-Proxy-Authentifizierungs-Headern betrifft.
Gitea ist eine selbst gehostete Alternative zu den Cloud-Plattformen GitHub, GitLab und Bitbucket für Code-Hosting und DevOps. Das Projekt zählt nach eigenen Angaben mehr als 400.000 Installationen und knapp 1.500 Mitwirkende — entsprechend groß ist die potenzielle Angriffsfläche jenseits der von Shadowserver erfassten, direkt aus dem Internet erreichbaren Systeme.