Gitea unter Beschuss: Kritische RCE für Cryptojacking ausgenutzt, CISA verlangt Patch bis 28. August

Eine Code-Injection mit CVSS 9.8 landet im KEV-Katalog

Am 25. August 2026 hat die CISA CVE-2026-60004 in den Known Exploited Vulnerabilities Catalog aufgenommen, basierend auf Hinweisen auf aktive Ausnutzung. Die Schwachstelle betrifft Gitea, die selbst gehostete Open-Source-Git-Plattform, und wird als Code-Injection mit einem CVSS-Wert von 9.8 beschrieben.

Laut offizieller Beschreibung ermöglicht die Lücke einem Angreifer mit Schreibzugriff auf ein Repository, einen bösartigen Patch an den API-Endpunkt diffpatch zu senden. Ziel ist es, einen ausführbaren Git-Hook zu installieren und Shell-Befehle mit den Rechten des Gitea-Dienstkontos auszuführen.

Die CISA hat die Ausnutzung in freier Wildbahn bestätigt, aber keine Details zu Vorgehen oder Akteuren veröffentlicht. Auch ist nicht bekannt, ob die CVE in Ransomware-Kampagnen eingesetzt wird: Das Feld „Known To Be Used in Ransomware Campaigns“ lautet Unknown.

Der Vektor: offene Registrierung und Git-Hooks

Als Entdecker der Schwachstelle wird der Forscher Shai rod, auch bekannt als NightRang3r, genannt. Der Endpunkt diffpatch kann missbraucht werden, um vom Repository kontrollierte Inhalte in einen ausführbaren Git-Hook umzuwandeln. Von dort aus führt der Angreifer Befehle als Dienstkonto aus und umgeht Anwendungskontrollen.

Besonders gefährlich macht den Angriff die standardmäßig offene Registrierung von Gitea. Mit dieser Einstellung kann ein nicht authentifizierter Besucher ein Konto registrieren, ein Repository anlegen und die nötigen Schreibrechte für den Angriff erlangen. Es sind weder vorhandene Zugangsdaten noch privilegierte Zugriffe erforderlich.

Die betroffenen Versionen umfassen alle Gitea-Releases ab Version 1.17. Die Korrektur wurde in Version 1.27.1 bereitgestellt. Das CISA/NVD-Material listet die betroffenen Versionen nicht explizit auf; diese Angabe stammt aus der Hersteller-Empfehlung.

Cryptojacking auf einer persönlichen Instanz beobachtet

Eine kürzlich veröffentlichte unabhängige Analyse beschreibt einen konkreten Angriff auf eine persönliche Gitea-Instanz. Ein nicht identifizierter Akteur nutzte CVE-2026-60004, um einen Dropper für einen Cryptocurrency-Miner zu verteilen.

Der Vorfall wurde nach einer E-Mail des Hosting-Providers HOSTKEY entdeckt. Der Anbieter meldete, dass der virtuelle Server über einen längeren Zeitraum mehr als 70 % der CPU-Kapazität beansprucht hatte und damit gegen die Nutzungsbedingungen verstieß. HOSTKEY begrenzte die CPU-Ressourcen der VPS vorübergehend.

Die Konfiguration der kompromittierten Instanz war besonders exponiert: DISABLE_REGISTRATION stand auf false, REGISTER_EMAIL_CONFIRM auf false, ENABLE_OPENID_SIGNUP auf true und REQUIRE_SIGNIN_VIEW auf false. Gitea-SSH war nicht exponiert: Der Angriffsvektor verlief vollständig über HTTPS.

Vor der Auslieferung der Nutzlast führte der Dropper eine Reihe von Schritten aus: Bereinigen von LD_PRELOAD und LD_LIBRARY_PATH, Suche nach Prozessen mit hoher CPU-Last, Versuch, konkurrierende Prozesse zu beenden, Herunterladen der Nutzlast je nach Systemarchitektur, Schreiben auf die Festplatte und Ausführen, anschließendes Löschen der Datei. Die genaue Art der Second-Stage-Payload ist nicht bekannt: Es gibt keine bestätigten Informationen zu Mining-Pool, Wallet, Miner-Familie oder Betreiber. Der erhöhte CPU-Verbrauch bleibt konsistent mit einer Cryptojacking-Kampagne gegen verwundbare Gitea-Instanzen.

Es ist unklar, ob die CISA die CVE wegen dieses konkreten Angriffs in den KEV aufgenommen hat oder ob sie weitere Hinweise auf Ausnutzung gegen ungepatchte Gitea-Server gesammelt hat.

Mitigations und Fristen für Bundesbehörden

Die von der CISA geforderte Maßnahme ist die Umsetzung der Hersteller-Mitigations gemäß BOD 26-04 „Prioritizing Security Updates Based on Risk“ und den „Forensics Triage Requirements“. US-Bundesbehörden müssen die Behebung bis zum 28. August 2026 abschließen.

Für diesen Eintrag verlangt die CISA kein verpflichtendes forensisches Triage: Das Feld „Forensic triage required per BOD-26-04“ ist auf No gesetzt. BOD 26-04 legt jedoch weiterhin Pre-Patch-Kontrollen für Bundesbehörden fest, insbesondere für öffentlich erreichbare Assets.

Die wichtigste Mitigation ist das Update auf Gitea 1.27.1 oder neuer. Bei Cloud-Diensten müssen Organisationen die BOD-26-04-Richtlinien befolgen oder das Produkt außer Betrieb nehmen, wenn keine Mitigations verfügbar sind.

Obwohl in der Empfehlung nicht formal als Workaround genannt, zeigt die Analyse des Vorfalls, dass Instanzen mit offener Registrierung, deaktivierter E-Mail-Bestätigung, aktiviertem OpenID-Signup und Ansicht ohne Anmeldung besonders exponiert sind. Die Registrierung einzuschränken und eine E-Mail-Bestätigung zu verlangen, kann die Angriffsfläche verringern.

Ein KEV-Katalog unter Druck in den letzten Wochen

CVE-2026-60004 ist nicht der einzige aktuelle Eintrag im KEV-Katalog. Zwischen dem 18. und 24. August 2026 wurden mehrere kritische Schwachstellen mit engen Behebungsfristen aufgenommen: CVE-2026-65400 (CVSS 9.8) mit Frist 21. August, CVE-2026-55040 (CVSS 9.1) mit Frist 21. August, CVE-2026-73570 (CVSS 8.9) mit Frist 24. August und CVE-2026-21962 (CVSS 10) mit Frist 27. August.

Diese Abfolge zeigt einen wachsenden Druck auf Organisationen, Patch-Zyklen zu verkürzen. Die Frist zum 28. August für Gitea lässt Bundesbehörden nur drei Tage ab KEV-Aufnahme – ein besonders knappes Intervall, das zum Ansatz von BOD 26-04 für Hochrisiko-Schwachstellen auf öffentlich exponierten Assets passt.