Gitea: 8300 серверов уязвимы к выполнению кода

Обсуждали с коллегами статью про уязвимость в Gitea — CVE-2026-60004. Уже эксплуатируется в реальных атаках, позволяет выполнить произвольный код на сервере через специально подготовленный патч. Уязвимость затрагивает инстансы, где включена открытая регистрация и не обновлён Gitea до 1.27.1. Пока их тысячи, в основном в Китае, Германии и США.

Прочитал, что уязвимость CVE-2026-60004 позволяет атакующему с правами на запись в репозиторий запустить произвольный код на сервере. Даже без доступа к учётной записи — достаточно зарегистрироваться, создать репозиторий и отправить вредоносный патч. Уязвимость исправлена в 1.27.1, но многие серверы до сих пор не обновлены. Аналитики насчитали более 8300 уязвимых инстансов, и CISA уже включил её в список эксплуатируемых уязвимостей. Уже есть подтверждения, что злоумышленники используют её для установки криптомайнеров.

Считаю, что ключевое здесь — не сама уязвимость, а то, что она доступна для обхода через открытую регистрацию. Это делает её особенно опасной для публичных хостов. Атака не требует сложных условий: только аккаунт, репозиторий, патч. И всё — сервер в руках у злоумышленника. По моему опыту, такие уязвимости быстро становятся мишенью для ботов. Уже не первый раз вижу, как простое «открытое создание репозитория» превращается в точку входа.

У себя в плане на неделю поставил обновление Gitea у всех клиентов, у которых он используется. Пока не тороплюсь с массовым обновлением — проверяю, какие версии в наличии. У тех, у кого включена открытая регистрация, делаю акцент на проверке прав доступа и отключении неиспользуемых функций. Уже начал с резервной копии — как всегда, перед обновлением. Главное — не просто поставить патч, а убедиться, что уязвимость не была использована ранее.