ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Gitea’deki CVE-2026-60004 kod enjeksiyonunu 25 Ağustos 2026’da Known Exploited Vulnerabilities kataloğuna ekledi. Kayıt, depo yazma yetkisi olan bir saldırganın diffpatch API uç noktasına kötücül yama göndererek çalıştırılabilir Git kancası ekleyebileceğini ve komutların Gitea hizmet hesabı yetkisiyle koşabileceğini yazıyor. Federal sivil kurumlar Binding Operational Directive 26-04 ile 28 Ağustos’a kadar yama veya tedbir uygulamak zorundaydı.
Gitea güvenlik ekibinin GHSA-rcr6-4jqh-j84m bildirimine göre varsayılan kurulumda açık kayıt açıktır; kimliği doğrulanmamış bir ziyaretçi hesap açıp depo yaratarak yazma yetkisini kendisi üretebilir. Yama 1.27.1, 27 Temmuz’da çıktı. BleepingComputer, açık sahada kullanıldığını ve bazı saldırılarda kripto madencisi bırakıldığını aktarıyor; CISA KEV metninde fidye kullanımı «Unknown», saldırı tekniği ayrıntısı yok.
Shadowserver 27 Ağustos taramasında CVE-2026-60004’e karşı savunmasız 8.393 internete açık IP saydı. Sayı, yamasız ve tarayıcıya görünen kutuları kapsar; hangisinin honeypot, hangisinin fiilen sömürüldüğü belirsiz. Gitea kendini GitHub/GitLab/Bitbucket alternatifı olarak konumlandırıyor; BleepingComputer 400 bini aşkın kurulum rakamını projenin kendi iddiası olarak geçiriyor.
Teyit edilen, CISA KEV kaydı, Gitea’nın kendi güvenlik bildirimi ve Shadowserver’ın 8.393 IP sayımıdır. Teyit edilmeyenler madenci kampanyasının tam boyutu ve hangi kurumların fiilen ele geçirildiğidir. İnternete açık, açık kayıtlı, 1.27.1 öncesi kutular acil yama ve kanca denetimi gerektirir.
Kaynaklar
Sık sorulan sorular
Açık kimlik doğrulaması olmadan sömürülür mü?
Doğrudan hayır: depo yazma yetkisi gerekir. Ancak Gitea varsayılanında açık kayıt vardır; saldırgan hesap açıp depo yaratarak bu yetkiyi kendisi üretebilir.
CISA ne zaman KEV’e aldı?
25 Ağustos 2026. Federal yama süresi Binding Operational Directive 26-04 ile 28 Ağustos’tu. Kayıtta fidye kullanımı Unknown.
8.393 sunucu ele geçirildi mi?
Hayır. Shadowserver 27 Ağustos’ta yamasız ve internete açık 8.393 IP saydı. Kaçının honeypot veya fiilen sömürüldüğü yazılmıyor.
Hangi sürüme güncellenmeli?
Gitea 1.27.1 ve sonrası. Yama 27 Temmuz 2026’da çıktı. İnternete açık eski kutularda Git kancası denetimi de gerekir.
