Giteaのdiffpatch APIの脆弱性CVE-2026-60004の悪用
CVE記録によると、1.27.1より前のGiteaには、diffpatch APIを通じたGitフックの設置でリモートコード実行を許す脆弱性CVE-2026-60004がある［4］。米CISAは、この脆弱性を既知の悪用された脆弱性（KEV）のカタログに加えた［4、5］。Acronisは、中国語を話す攻撃者がこの脆弱性を武器化してGiteaを侵害したと報告し、侵害を確認した標的を5か国の11件とした［8］。
脆弱性の内容
| 項目 | 値 | 資料 |
|---|---|---|
| CVSS | 9.8（v3.1、CRITICAL。CVE記録の値） | ［4］ |
| CWE | CWE-94（コードインジェクション） | ［4］ |
| 悪用されたときの影響 | アプリケーションと環境の秘密情報、マウントされたリポジトリ、データベースの認証情報と内容、OAuthの認証情報、到達できる内部サービスが露出しうる（Giteaの説明） | ［9］ |
| CISAのSSVC | Exploitation: active、Automatable: yes、Technical Impact: total | ［4］ |
SecurityWeekが引いたCISAのKEVの説明文では、リポジトリへの書き込み権限を持つ攻撃者が、diffpatch APIのエンドポイントに悪意あるパッチを送り、実行できるGitフックを置ける［10］。置いたフックで、Giteaのサービスアカウントとしてシェルコマンドを実行できる［10］。
Acronisは、同じ細工したパッチを2回送ると、add/addの衝突で三方向マージに移ると報告した［8］。一時クローンはベアなので、hooks/post-index-changeに書いたファイルがGitの有効なフックの場所に置かれ、Giteaのサービスアカウントで実行される［8］。diffpatch APIにはリポジトリへの書き込み権限が要るが、Giteaは既定で自由登録が有効になっている〔注1〕［8］。自由登録が有効なら、外部の攻撃者はアカウントを登録し、リポジトリを作って攻撃を完了できる［8］。
runZeroの2026年7月30日の記事によると、悪用に成功すると、権限によっては認証情報や設定を抜き出したり、ビルドの出力を改変したりできることがある［7］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | CVE Program | CVE-2026-60004を予約した | ［4］ |
| 2026年 | Gitea | 修正をマージし、バックポートした | ［9］ |
| 2026年 | Gitea | 1.27.1を公開した | ［8、9］ |
| 2026年 | Gitea | 公開のPoCを含む勧告を出した | ［9］ |
| 2026年 | Red Heron | GitHubの公開のPoCを複製し、手を加え始めた | ［8］ |
| 2026年 | Red Heron | 7か国のGitea 1,386件の走査を終えていた | ［8］ |
| 2026年 | Red Heron | 台湾の477件の標的の一覧を作った | ［8］ |
| 2026年 | Red Heron | 台湾の50件に一括で攻撃を走らせた（翌日にさらに5件の被害の記録が加わった） | ［8］ |
| 2026年 | Acronis | 攻撃者の公開された中継サーバーを見つけた | ［8］ |
| 2026年 | CommitGo | Gitea CloudへのGitea v1.27.1の展開を告知した | ［1］ |
| 2026年 | CISA | CVE-2026-60004をKEVのカタログに加えた | ［4、5］ |
| 2026年 | カナダ・サイバーセキュリティセンター | 勧告AV26-845を出した | ［6］ |
| 2026年 | CVE Program | CVE記録を公開した | ［4］ |
| 2026年 | CommitGo | Gitea Enterprise 27.3.0を公開し、CVE-2026-60004を修正の対象に挙げた | ［2］ |
| 2026年 | Acronis | Red Heronの活動の報告を公開した | ［8］ |
対象の製品と版
Giteaはオープンソースで、CommitGoが主導と商用支援をしている［1］。
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Gitea | 1.17以上1.27.1未満 | 1.27.1 | ［4］ |
| Gitea Cloud | - | v1.27.1 | ［1］ |
| Gitea Enterprise | - | 27.3.0（基盤をGitea v1.26.4からv1.27系に移し、1.27.0・1.27.1・1.27.2の修正を含む） | ［2］ |
Acronisは、悪用にはGit 2.32以上、diffpatchの経路が有効なこと、書き込みと実行のできる一時ファイルシステムが要るとした［8］。自由登録は事前の認証情報を不要にするが、脆弱性そのものではないとも書いた［8］。
悪用の状況
NVDに載ったCISAの欄では、KEVでの名称は「Gitea Code Injection Vulnerability」で、対応の期限は8月28日だった［5］。
カナダ・サイバーセキュリティセンターは10月20日に勧告AV26-845を更新し、公開情報はCVE-2026-20896が悪用されていることを示すとも記した［6］。
Habrに投稿された被害の報告
The Hacker Newsは、ロシアのブログ基盤Habrで開発者が、自身のGiteaがCVE-2026-60004で攻撃され、暗号資産のマイナーに似たドロッパーを置かれたと報告したと報じた［11］。発覚のきっかけは、仮想サーバーのCPUの使用率が長い間70%を超えているとのホスティング事業者からの通知だった［11］。開発者は次段のペイロードを解析しておらず、採掘プール、ウォレット、マイナーの系統、攻撃者について確かな情報は無いとした［11］。
Help Net Securityの記事では、被害のサーバーは古い版のGiteaで、自由登録が有効なうえ、メールの確認もCAPTCHAも無かった［12］。自動のスキャナーが、アカウントの登録からリポジトリの作成、攻撃まで進めた［12］。開発者は、Docker上のGiteaのコンテナの中でコードが実行され、再起動の後にマイナーに似たペイロードは残らず、cron・systemd・新しいSSH鍵による持続化の痕跡も無かったと述べた［12］。攻撃の能動的な部分は約11秒だったとした［12］。
開発者はその後、Giteaをv1.27.2へ上げた［12］。自由登録を無効にして追加の登録手段を外し、すべての秘密情報とトークンを入れ替え、Dockerのネットワークを絞り、コンテナからインターネットへの通信を遮断した［12］。
攻撃者の道具と帰属の評価
Acronisの9月13日の報告では、攻撃者Red Heronの活動は、ソースコードの窃取から持続的なアクセス、認証情報の収集、横展開へ進んだ［8］。侵害を確認した組織は、カナダ、アルゼンチン、台湾、米国、スリランカにある［8］。
Acronisの報告によると、脅威ハンティングで見つけたLinuxのインプラントJITTERLYは、30を超える命令を持つC++のインプラントで、未報告のLD_PRELOADのルートキットSIXZUTを内蔵する［8］。
Acronisは中程度の確度で、この活動を中国（PRC）に関連する活動の文脈で動く、中国語を話す攻撃者によるものと評価した［8］。根拠に、偵察のデータが簡体字中国語で書かれ、台湾を中国の一地域として分類していたことを挙げた［8］。既知のAPTの集団との直接のつながりは見つけていないとした［8］。
修正と回避策
CommitGoはGitea Cloudの告知で、すべてのインスタンスを、それぞれに設定した保守時間帯にv1.27.1へ自動で更新すると説明した［1］。利用者の側の作業は要らない［1］。Giteaは1.27.1の公開の告知をブログに掲載した［3］。
Acronisの報告によると、1.27.1の修正は一時クローンをベアから非ベアに替えるものだった［8］。The Hacker Newsは、この変更がリリースノートでSECURITYではなくMISCの区分に載ったと報じた〔注2〕［9］。
Acronisは対策として、1.27.1以降への更新、必要のないインスタンスでの自由登録の無効化、使っていないdiffpatch APIの経路の制限を挙げた［8］。The Hacker Newsは、自由登録を無効にすれば、更新を適用するまでのあいだ公開のアカウント作成の経路を除けると報じた［9］。この措置は脆弱性を直すものではなく、リポジトリへの書き込み権限を持つ既存の利用者からは守れない［9］。
NVDに載ったCISAの欄では、求める措置は、ベンダーの指示に従って緩和策を適用し、BOD 26-04と「Forensics Triage Requirements」に従うことで、緩和策が無ければ製品の使用をやめることだった［5］。
カナダ・サイバーセキュリティセンターは勧告AV26-845で、利用者と管理者にリンク先を確かめ、必要な更新を適用するよう勧めた［6］。参照には、Gitea 1.27.1と1.27.2の告知を挙げた［6］。
未公表の事項
- CISAがKEVへの追加の根拠とした悪用の事例と攻撃者
- 悪用されたGiteaの総数
- Acronisが侵害を確認した組織の名前と、組織ごとのソースコードや認証情報の流出の範囲
- Habrで報告された攻撃とCISAのKEVへの追加との関係
- KEVへの追加の後の、Giteaの開発元による悪用についての説明
注
出典
当事者
- ［1］CommitGo, Inc.『Gitea v1.27.1 for Cloud is released』（2026年8月4日公開）
- ［2］CommitGo, Inc.『Gitea Enterprise 27.3.0 is released』（2026年8月27日公開）
- ［3］CommitGo, Inc.『Gitea 1.27.1 is released』（2026年7月27日公開、保存記録のみ） 保存記録
公的機関
- ［4］CVE Program『CVE-2026-60004』（2026年8月26日公開、2026年9月8日更新）
- ［5］National Institute of Standards and Technology『CVE-2026-60004』（2026年8月26日公開、2026年8月27日更新）
- ［6］Canadian Centre for Cyber Security『Gitea security advisory (AV26-845) - Update 1』（2026年8月25日公開、2026年10月20日更新）
調査・観測
- ［7］runZero, Inc.『Gitea vulnerability CVE-2026-60004: find impacted assets』（2026年7月30日公開、2026年8月25日更新）
- ［8］Acronis International GmbH『Red Heron exploits Gitea n-day flaw in multinational campaign, exposing new Linux rootkit』（2026年9月13日公開、2026年9月14日更新）
報道機関
- ［9］The Hacker News『New Gitea RCE Lets Repository Writers Plant a Git Hook to Run Shell Commands』（2026年7月29日公開）
- ［10］SecurityWeek『CISA Warns of Exploited Gitea Vulnerability』（2026年8月26日公開）
- ［11］The Hacker News『Critical Gitea RCE Actively Exploited as Reported Attack Drops Miner-Like Payload』（2026年8月26日公開）
- ［12］Help Net Security『Critical Gitea vulnerability now exploited in the wild (CVE-2026-60004)』（2026年8月26日公開）
更新記録
- 2026年8月30日：公開した。
- 2026年9月8日：CVE記録の9月8日の更新（出典4）で示されたCISAのSSVCの評価を「脆弱性の内容」に加えた。
- 2026年9月13日：Acronisの9月13日の報告（出典8）を加え、攻撃の仕組みと悪用の条件を「脆弱性の内容」「対象の製品と版」に、Red Heronの活動を「時系列」「悪用の状況」に、修正の中身と対策を「修正と回避策」に加え、リードに報告の要旨を加えた。
- 2026年9月14日：Acronisの報告の9月14日の更新（出典8）に合わせ、出典の節の注記を改めた。
- 2026年10月20日：カナダ・サイバーセキュリティセンターの勧告AV26-845のUpdate 1（出典6）で示されたCVE-2026-20896の悪用を「悪用の状況」に加えた。