CVE-2026-60004
Gitea Code Injection Vulnerability
Beschreibung
CVE-2026-60004 ist eine kritische Code-Injection-Schwachstelle, die unauthentifizierte Remote-Codeausführung in Gitea ermöglicht, dem selbst gehosteten Git-Dienst. Versionen vor 1.27.1 erlauben Codeausführung über die diffpatch-API mittels Installation eines Git-Hooks: Ein Angreifer erreicht den API-Pfad ohne Zugangsdaten und bewirkt die Installation eines Git-Hooks — da Git-Hooks Skripte sind, die der Server bei Repository-Operationen automatisch ausführt, läuft der Angreifercode auf dem Gitea-Host. Betroffen ist Gitea ab 1.17.0 bis 1.27.1. Da eine Gitea-Instanz Quellcode, CI-Geheimnisse und Deployment-Schlüssel einer Organisation vorhält, hat CVE-2026-60004 Lieferkettenqualität; sie trägt einen CVSS-Wert von 9.8, einen außergewöhnlichen EPSS-Wert von rund 87 % im 99. Perzentil, öffentlichen Exploit-Code und eine Listung im CISA-Katalog bekannter ausgenutzter Schwachstellen (KEV).
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| gitea | gitea | >= 1.17.0, < 1.27.1 |
Referenzen
- https://blog.gitea.com/release-of-1.27.1/(Release Notes)
- https://github.com/0xBlackash/CVE-2026-60004(Exploit, Mitigation, Third Party Advisory)
- https://github.com/go-gitea/gitea/security/advisories/GHSA-rcr6-4jqh-j84m(Exploit, Vendor Advisory)
- https://www.runzero.com/blog/gitea/(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-60004(US Government Resource)
Schwachstellentyp
CWE-94: Unsachgemäße Kontrolle der Code-Generierung ('Code Injection')
Code Injection tritt auf, wenn Software ein Codesegment ganz oder teilweise aus extern beeinflussten Eingaben zusammensetzt, ohne Elemente zu neutralisieren, die Syntax oder Verhalten des beabsichtigten Codes verändern. Bei CVE-2026-60004 ist das eingeschleuste Artefakt ein Git-Hook: Angreiferkontrollierte Inhalte werden in ein Hook-Skript geschrieben, das Giteas eigene Git-Operationen anschließend ausführen — der Angreifer benötigt also keine Ausführungssenke zur Anfragezeit, die Repository-Mechanik führt den Code für ihn aus.
Mehr erfahren: CWE-94 — Unsachgemäße Kontrolle der Code-Generierung ('Code Injection')
Auswirkungsanalyse
CVE-2026-60004 ist aus der Ferne über das Netzwerk ausnutzbar, mit geringer Angriffskomplexität, ohne Authentifizierung und ohne Benutzerinteraktion — einzige Voraussetzung ist das Erreichen der Gitea-HTTP-Oberfläche, und selbst gehostete Gitea-Instanzen sind häufig exponiert, damit Entwickler und CI-Systeme sie erreichen. Die Auswirkung ist hoch für Vertraulichkeit, Integrität und Verfügbarkeit: Codeausführung auf einem Gitea-Host legt jedes bereitgestellte Repository samt Access-Token, Deploy Keys, Webhook-Geheimnissen und CI-Zugangsdaten offen, erlaubt die Veränderung von Quellcode und Commit-Historie, die nachgelagerte Builds konsumieren, und ermöglicht die Zerstörung des Dienstes. Die Lieferkettenfolge macht dies schlimmer als eine einzelne Serverkompromittierung — eine in ein breit genutztes internes Repository eingebrachte Hintertür wandert mit dem Vertrauen der eigenen Organisation in Builds und Produktionsdeployments. Der CVSS-3.1-Basiswert liegt bei 9.8 (kritisch), und der EPSS-Wert von rund 87 % im 99. Perzentil gehört zu den höchsten je vergebenen Werten und signalisiert praktisch kontinuierliche Ausnutzungsversuche.
Exploit-Reifegrad
CVE-2026-60004 liegt am äußersten Ende der Exploit-Reife. Öffentlicher Exploit-Code ist verfügbar in einem eigenen GitHub-Repository zu CVE-2026-60004, als Exploit-Material gekennzeichnet, und auch das Hersteller-Advisory GHSA-rcr6-4jqh-j84m ist als Exploit-Referenz markiert — sowohl ein funktionierendes Werkzeug als auch eine maßgebliche technische Beschreibung sind frei zugänglich. Die CISA hat die aktive Ausnutzung über die KEV-Listung mit bereits verstrichener Frist zum 28. August 2026 bestätigt, und runZero hat Forschung zu exponierten Gitea-Instanzen veröffentlicht. Entscheidend ist der EPSS-Wert von rund 87 % im 99. Perzentil — unter den höchsten je erfassten Ausnutzungswahrscheinlichkeiten, was bedeutet, dass Angriffe gegen jede erreichbare Instanz faktisch kontinuierlich erfolgen. Es gibt kein realistisches Szenario, in dem ein internetseitig exponierter ungepatchter Gitea-Server unbemerkt geblieben wäre; behandeln Sie solche Systeme als kompromittiert und untersuchen Sie entsprechend.
Behebung
- Die von der CISA geforderte Maßnahme sofort umsetzen. Mitigationen gemäß den Herstelleranweisungen anwenden, die BOD-26-04-Vorgaben der CISA („Prioritizing Security Updates Based on Risk") sowie die „Forensics Triage Requirements" einhalten und das Produkt außer Betrieb nehmen, falls keine Mitigationen verfügbar sind. Die KEV-Frist zum 28. August 2026 ist verstrichen.
- Gitea auf 1.27.1 oder neuer aktualisieren. Alle Versionen ab 1.17.0 bis 1.27.1 sind betroffen; die Release-Ankündigung zu 1.27.1 und das Hersteller-Advisory GHSA-rcr6-4jqh-j84m dokumentieren den Fix.
- Die Instanz umgehend aus dem Internet nehmen. Mit öffentlichem Exploit, einem EPSS-Wert nahe 87 % und ohne Authentifizierungsanforderung wird eine internetseitige ungepatchte Gitea-Instanz kontinuierlich angegriffen — stellen Sie sie sofort hinter ein VPN oder eine IP-Allowlist, vor und unabhängig vom Upgrade.
- Von Kompromittierung ausgehen und Repositories sowie Hooks gründlich auditieren. Das
hooks-Verzeichnis jedes Repositorys auf dem Server auf Skripte prüfen, die niemand installiert hat, die Commit-Historie auf unerwartete Commits und Force-Pushes durchsehen, auf neue Admin-Benutzer, Access-Token, OAuth-Anwendungen, Webhooks und Deploy Keys achten und den Host auf unbekannte Prozesse, Cron-Einträge und ausgehende Verbindungen untersuchen. runZeros Beitrag zu Gitea liefert Kontext zum Auffinden exponierter Instanzen. - Jedes von der Instanz berührte Geheimnis rotieren und langfristig härten. Alle Gitea-Access-Token, OAuth-Client-Secrets, Webhook-Geheimnisse, Deploy Keys und in Repositories gespeicherte oder von dort erreichbare CI/CD-Zugangsdaten widerrufen und neu ausstellen und Entwickler zur erneuten Anmeldung auffordern; anschließend signierte Commits und Branch Protection erzwingen, damit eingeschleuste Commits die Verifikation nicht bestehen, den Kreis derer einschränken, die Git-Hooks überhaupt aktivieren dürfen, und selbst gehostete Entwicklerplattformen grundsätzlich hinter authentifiziertem Ingress betreiben.
Technische Details
CVE-2026-60004 ist eine Code-Injection-Schwachstelle (CWE-94) in Giteas diffpatch-API. Der API-Pfad ist in betroffenen Versionen ohne Authentifizierung erreichbar, und die Anfrageverarbeitung erlaubt es, dass angreiferseitige Inhalte zur Installation eines Git-Hooks auf dem Server führen. Git-Hooks sind ausführbare Skripte im hooks-Verzeichnis eines Repositorys, die Git an definierten Punkten von Repository-Operationen automatisch ausführt — bevor ein Push akzeptiert wird, nachdem ein Commit eingegangen ist und so weiter — die Installation eines Hooks entspricht damit dem Einplanen beliebigen Codes zur Ausführung im Kontext des Gitea-Dienstes. Der Angreifer benötigt also nie ein direktes Ausführungsprimitiv in der Anfrage selbst; der eingeschleuste Code läuft, wenn der Server normale Repository-Arbeit verrichtet. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H hält einen unauthentifizierten, wenig komplexen Netzwerkangriff ohne Benutzerinteraktion mit voller Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit bei unverändertem Scope fest. Giteas eigene Sicherheitshinweise behandeln den Zugriff auf Git-Hooks seit jeher als reine Administratorfähigkeit, gerade weil er Shell-Zugriff gleichkommt — was einen unauthentifizierten Weg zur Hook-Installation so gravierend macht.
Häufig gestellte Fragen
Wird CVE-2026-60004 aktiv ausgenutzt?
Ja, kontinuierlich. Die CISA führt CVE-2026-60004 mit bereits verstrichener Frist zum 28. August 2026 in ihrem Katalog bekannter ausgenutzter Schwachstellen, öffentlicher Exploit-Code ist auf GitHub veröffentlicht, und das Hersteller-Advisory selbst ist als Exploit-Material gekennzeichnet. Der EPSS-Wert von etwa 87 % liegt im 99. Perzentil, unter den höchsten je vergebenen.
Welche Produkte sind von CVE-2026-60004 betroffen?
Betroffen ist Gitea in allen Versionen ab 1.17.0 bis ausschließlich 1.27.1. Der verwundbare Pfad ist die diffpatch-API, die in betroffenen Versionen ohne Authentifizierung erreichbar ist und zur Installation eines Git-Hooks genutzt werden kann, den der Server anschließend ausführt.
Wie behebe ich CVE-2026-60004?
Aktualisieren Sie Gitea gemäß den Release-Notes zu 1.27.1 und dem Advisory GHSA-rcr6-4jqh-j84m auf Version 1.27.1 oder neuer und beschränken Sie die Instanz umgehend auf vertrauenswürdige Netze. Da unauthentifizierte Codeausführung möglich war, sollten Sie zudem das hooks-Verzeichnis jedes Repositorys und die Commit-Historie auditieren, alle Token, Deploy Keys, Webhook-Geheimnisse und CI-Zugangsdaten rotieren und den Host auf Persistenz prüfen.
Wie schwerwiegend ist CVE-2026-60004?
CVE-2026-60004 ist kritisch mit einem CVSS-3.1-Basiswert von 9.8. Sie ist unauthentifiziert und netzwerkseitig mit geringer Komplexität ohne Benutzerinteraktion ausnutzbar und liefert Remote-Codeausführung auf einem Server, der Quellcode und CI-Geheimnisse einer Organisation hält, mit voller Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit; mit öffentlichem Exploit-Code und einem EPSS-Wert im 99. Perzentil gehört sie zu den derzeit dringendsten offenen Schwachstellen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.