Gitea CVE-2026-60004: una patch malevola installa un git hook ed esegue comandi sul server

La registrazione aperta per impostazione predefinita trasforma un requisito di autenticazione in una formalità. La CVE-2026-60004 riguarda Gitea, la piattaforma open source per la gestione del codice sorgente scelta da chi vuole un'alternativa leggera e auto-ospitata a GitHub, ed è una code injection con CVSS v3.1 pari a 9.8 nel componente che applica le patch attraverso l'endpoint diffpatch. La causa è un'errata gestione dei repository temporanei usati durante l'elaborazione: una patch costruita ad arte sfrutta il meccanismo dei Git Hook per scrivere codice arbitrario nella directory del repository temporaneo, e le successive operazioni Git lo eseguono automaticamente con i privilegi dell'utente di sistema che fa girare il servizio.

Sulla carta serve un utente con permessi di scrittura sul repository, e questo sembrerebbe restringere il bacino. In pratica no: Gitea abilita la registrazione libera nella configurazione di default, quindi un attaccante esterno può crearsi un account e ottenere da sé i permessi necessari. La correzione è nella versione 1.27.1 del 27 luglio 2026, con advisory il giorno successivo; la CISA ha inserito la vulnerabilità nel catalogo KEV e negli attacchi osservati il codice iniettato distribuiva payload riconducibili a miner di criptovaluta. Al momento della segnalazione ACN risultavano oltre 8.300 server Gitea esposti e non aggiornati.

Torniamo su una categoria che questo bollettino ha battuto con regolarità nell'ultimo trimestre: Jenkins in giugno e agosto, Gogs in luglio, GitLab in agosto, ora Gitea. Il filone è coerente e vale più della singola CVE. Le piattaforme di sviluppo auto-ospitate custodiscono codice sorgente, segreti applicativi, token di deploy e pipeline di integrazione continua, cioè le chiavi per arrivare ovunque, e sono spesso installate dai team di sviluppo fuori dal perimetro presidiato dall'infrastruttura. A doversene preoccupare è chi ha un Gitea raggiungibile dall'esterno, a maggior ragione se la registrazione libera è rimasta attiva com'è di default: in quel caso il prerequisito di autenticazione non esiste.

• Versioni affette: Gitea dalla versione 1.17 alla 1.27.0 inclusa; la correzione è disponibile dalla 1.27.1.
• Azione raccomandata: aggiornare Gitea alla 1.27.1 o successiva; disattivare la registrazione libera degli utenti dove non serve, oppure subordinarla ad approvazione; verificare la presenza di git hook non previsti nei repository e di processi anomali riconducibili all'utente di sistema del servizio, in particolare attività di mining; limitare l'esposizione dell'istanza su internet.

Fonti: ACN, The Hacker News, SOC Prime, SentinelOne