概要
OSSのGitホスティングサービスGiteaにおける重大な脆弱性CVE-2026-60004（CVSS 9.8）が実際に悪用されていることが確認され、CISA(米サイバーセキュリティ・インフラセキュリティ庁)は2026年8月25日、これを既知悪用脆弱性(KEV)カタログに追加した。脆弱性はGiteaのdiffpatch APIエンドポイントに存在し、リポジトリへの書き込み権限を持つ攻撃者が不正なパッチを送信することで、リポジトリ制御下のコンテンツから実行可能なGitフックをインストール・実行させ、Giteaサービスアカウント(OSユーザー)の権限で任意のシェルコマンドを実行できる。脆弱性を発見・報告したのはSalesforceのセキュリティ研究者Shai Rod(NightRang3r)氏で、GHSA-rcr6-4jqh-j84mとしても追跡されている。
悪用の手口と実際の被害
本来は認証済みでリポジトリへの書き込み権限を持つユーザーが前提となる脆弱性だが、Giteaはデフォルトで自己登録(セルフサインアップ)が有効になっているため、未認証の攻撃者でもアカウントを作成し、リポジトリを作って攻撃を仕掛けることが可能だ。DISABLE_REGISTRATION=false、REGISTER_EMAIL_CONFIRM=false、ENABLE_OPENID_SIGNUP=true、REQUIRE_SIGNIN_VIEW=falseといった設定が有効な場合に特に悪用が容易になるという。
実際に、セキュリティ研究者Andrey(@Causelof)氏が運用する自己ホスト型Giteaインスタンスが自動スキャナーによって侵害された事例が報告されている。攻撃はアカウント登録からリポジトリ作成、Gitフックを介したエクスプロイトの発火までわずか11秒で完了し、Dockerコンテナ内でgitユーザーとして実行された。侵入後のドロッパースクリプトはLD_PRELOADやLD_LIBRARY_PATHといった環境変数を消去し、高CPU使用率のプロセスを探索したうえでアーキテクチャに応じたペイロードをダウンロード、競合するプロセスを停止させてから暗号資産マイニングソフトウェアを実行した。この結果、CPU使用率が70%を超えて急上昇し、ホスティング事業者の利用規約に抵触する事態となった。
影響範囲と対応
脆弱性の影響を受けるのはGitea 1.17から1.27.0までのバージョンで、2026年7月27日にリリースされたv1.27.1で修正された。最新版はv1.27.2。侵害が成立した場合、分離レベルによっては設定ファイルやアプリケーションのシークレット、データベース認証情報、OAuth認証情報などが露出する可能性がある。現在も約5,000台のGiteaインスタンスがインターネットに公開されたままとなっており、このうち本脆弱性の影響を受ける台数は明らかになっていない。
CISAは拘束的運用指令(BOD)26-04に基づき、米連邦文民行政機関に対し2026年8月28日までのパッチ適用を義務付けた。なお、Giteaでは2026年7月にもリバースプロキシ設定を狙った別の重大な認証バイパス脆弱性CVE-2026-20896が実際に悪用されており、今回で立て続けの被害となる。管理者はv1.27.2以降へのアップグレードに加え、自己登録機能の無効化やサーバーの侵害有無の確認を急ぐ必要がある。