A Agência de Cibersegurança e Segurança de Infraestrutura dos Estados Unidos, CISA, alertou na terça-feira sobre tentativas ativas de exploração que miram uma falha crítica de segurança recentemente corrigida no Gitea.
A vulnerabilidade em questão é a CVE-2026-60004, com pontuação CVSS de 9,8. Trata-se de um caso de execução remota de código que permite a um atacante com permissão comum de escrita em um repositório executar comandos shell arbitrários como o usuário do sistema operacional do Gitea.
“O endpoint diffpatch do Gitea pode ser abusado para instalar e executar um Git hook a partir de conteúdo controlado pelo repositório”, informou o Gitea em um comunicado publicado no mês passado. “Com o registro aberto por padrão, um visitante não autenticado pode obter a permissão de escrita necessária ao criar uma conta e um repositório.”
O pesquisador de segurança Shai Rod, também conhecido como NightRang3r, foi creditado pela descoberta e pelo reporte do problema. A falha afeta todas as versões do Gitea a partir da versão 1.17 e foi corrigida na versão 1.27.1.
Como informado anteriormente por sites de segurança da informação, embora a chamada à API vulnerável exija autenticação e permissão de escrita no repositório, o fato de o Gitea permitir registro por padrão torna possível que um agente externo crie uma conta e um repositório e então acione o exploit sem depender de credenciais pré-existentes.
“O Gitea contém uma vulnerabilidade de injeção de código que permite a um atacante com acesso de escrita ao repositório enviar um patch malicioso ao endpoint diffpatch da API para inserir um Git hook executável e executar comandos shell como a conta de serviço do Gitea”, disse a CISA.
A agência, que adicionou a falha ao catálogo Known Exploited Vulnerabilities, ou KEV, não divulgou detalhes sobre como a falha de segurança tem sido explorada no mundo real nem identificou quem está por trás das tentativas.
No entanto, um desenvolvedor full-stack chamado Andrey, também conhecido como @Causelof, afirmou em uma análise publicada na semana passada na plataforma russa de blogs Habr que sua instância do Gitea foi alvo de um threat actor desconhecido, que usou a CVE-2026-60004 para implantar um dropper com comportamento semelhante ao de um minerador de criptomoedas.
O incidente veio à tona após o recebimento de um e-mail do provedor de hospedagem HOSTKEY, informando que o servidor virtual havia consumido mais de 70% da capacidade de processamento por um período prolongado, em violação aos termos do serviço. Isso levou o provedor a limitar temporariamente os recursos de CPU disponíveis para a VPS.
Segundo o usuário, a atividade foi impulsionada pela seguinte configuração:
DISABLE_REGISTRATION = false, o que, se ativado, permitiria apenas que um administrador criasse contas para usuários.
REGISTER_EMAIL_CONFIRM = false, o que, se ativado, exigiria confirmação de registro por e-mail.
ENABLE_OPENID_SIGNUP = true, o que permite registro via OpenID.
REQUIRE_SIGNIN_VIEW = false, o que, se ativado, obrigaria os usuários a fazer login para visualizar qualquer página ou usar a API.
“O fato de o registro aberto estar habilitado aqui é significativo justamente por sua conexão com a vulnerabilidade”, observou Andrey. “Um novo usuário poderia se registrar, criar seu próprio repositório e obter nele as permissões de escrita necessárias. O SSH do Gitea não estava exposto à internet. O vetor de ataque foi via HTTPS.”
Antes de implantar o payload do minerador, o script dropper teria executado as seguintes etapas:
Limpar LD_PRELOAD e LD_LIBRARY_PATH
Procurar processos com alto uso de CPU
Tentar encerrar processos concorrentes
Buscar o payload com base na arquitetura do sistema
Baixar, gravar em disco e executar o arquivo
Excluir o arquivo após a execução
A natureza exata do payload da próxima etapa permanece incerta, já que o usuário afirmou não ter feito uma análise do conteúdo, acrescentando: “Não tenho informações confirmadas sobre o pool de mineração, a carteira, a família do minerador ou o operador específico”. Ainda assim, o aumento repentino no uso de CPU é compatível com uma campanha de cryptojacking voltada a instâncias vulneráveis do Gitea.
Não está claro se a CISA adicionou a falha ao catálogo KEV por causa desse ataque específico ou se encontrou evidências de exploração mirando servidores Gitea sem patch nos Estados Unidos. As agências federais são obrigadas a corrigir a falha até 28/08/2026, priorizando as atualizações com base em uma abordagem orientada ao risco.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...