CISA ajoute une vulnérabilité de Gitea au catalogue KEV : exploitée pour exécuter du code et installer des mineurs

L'ajout au KEV et l'échéance du 28 août

Le 25 août 2026, la Cybersecurity and Infrastructure Security Agency (CISA) a ajouté la vulnérabilité CVE-2026-60004 au catalogue Known Exploited Vulnerabilities (KEV). L'ajout s'appuie sur des preuves d'exploitation active.

L'échéance de remédiation pour les agences fédérales civiles américaines (FCEB) est fixée au 28 août 2026. Il s'agit d'une fenêtre de trois jours, conforme à la directive opérationnelle BOD 26-04 qui impose la correction rapide des vulnérabilités à haut risque lorsqu'elles permettent le contrôle total d'un actif exposé.

La faille concerne Gitea, plateforme open source pour l'hébergement et la gestion de dépôts Git, souvent utilisée comme alternative auto-hébergée à GitHub ou GitLab. La CISA la classe comme vulnérabilité d'injection de code et la désigne comme vecteur d'attaque fréquent pour des acteurs malveillants.

Comment fonctionne la faille : de la patch malveillante à l'exécution de commandes

La description technique paraphrasée du National Vulnerability Database (NVD) indique que Gitea contient une vulnérabilité d'injection de code. Un attaquant disposant d'un accès en écriture à un dépôt peut envoyer une patch malveillante au point de terminaison diffpatch API.

Grâce à cette API, il est possible d'installer un crochet Git exécutable et d'obtenir l'exécution de commandes shell sous le compte de service de Gitea. En pratique, l'attaquant n'a pas besoin de compromettre directement le serveur : il lui suffit de pouvoir créer ou modifier un dépôt.

Un élément critique signalé par la source journalistique SecurityAffairs est que Gitea active l'enregistrement ouvert par défaut. Par conséquent, un attaquant non authentifié peut créer un compte, créer un dépôt et exploiter la faille sans disposer de justificatifs préexistants.

Versions concernées et correction : le tableau reste incertain

Les versions exactes concernées ne sont indiquées ni dans l'avis de la CISA ni dans l'enregistrement NVD disponible. Selon SecurityAffairs, la vulnérabilité affecte Gitea à partir de la version 1.17 et a été corrigée dans la version 1.27.1.

La donnée sur les versions provient donc d'une source journalistique unique. Elle n'est pas pour l'instant confirmée par une documentation officielle du projet Gitea.

De même, le score de gravité CVSS 9,8 (critique) est rapporté exclusivement par SecurityAffairs. Les extraits officiels du NVD et de la CISA n'incluent ni le vecteur CVSS ni la classification CWE. L'impact décrit est toutefois une exécution de code à distance en tant qu'utilisateur de service Gitea, ce qui est cohérent avec une gravité critique.

Attaque observée : enregistrement ouvert et mineur

SecurityAffairs rapporte une attaque observée qui a exploité la faille pour distribuer une charge utile similaire à un mineur de cryptomonnaie. L'instance Gitea compromise était exposée sur Internet et autorisait à la fois l'enregistrement ouvert et l'accès anonyme à l'interface web.

Ce scénario abaisse la barrière à l'entrée : l'attaquant n'a pas besoin de voler des justificatifs ni de compromettre un compte existant. Il lui suffit d'atteindre une instance vulnérable avec enregistrement ouvert, de créer un compte et un dépôt, puis d'envoyer la patch malveillante.

La combinaison entre exposition publique, enregistrement ouvert et faille d'injection de code rend la vulnérabilité particulièrement adaptée aux attaques automatisées à grande échelle, comme celles qui distribuent des mineurs ou des botnets.

Que faire : correctif et exigences fédérales

Pour les organisations qui utilisent Gitea, la principale mesure d'atténuation indiquée est de mettre à niveau vers la version 1.27.1 ou ultérieure. Là encore, la donnée sur la version de correctif provient uniquement de la source journalistique : l'action KEV officielle n'indique pas de version spécifique dans le fragment disponible, mais renvoie aux instructions du fournisseur.

Les agences fédérales américaines doivent se conformer à la BOD 26-04 : appliquer les mesures d'atténuation du fournisseur, effectuer les vérifications de triage forensique et, pour les services cloud, suivre les directives de la directive ou cesser l'utilisation du produit si les mesures d'atténuation ne sont pas disponibles.

La BOD 26-04 ne s'applique formellement qu'aux agences FCEB, mais la CISA encourage toutes les organisations à adopter une gestion des vulnérabilités basée sur les risques et à donner la priorité aux CVE présentes dans le catalogue KEV.

Il convient de signaler une divergence entre les sources : SecurityAffairs cite la précédente BOD 22-01, tandis que les sources officielles de la CISA et du NVD citent la BOD 26-04. La référence actuelle de l'avis de la CISA est la BOD 26-04.

Enregistrement CVE « réservé » et divergences entre les sources

Deux éléments rendent le tableau d'information encore incomplet.

Le premier concerne l'état de l'enregistrement CVE. Au moment de la consultation, la page du CVE Program (cve.org) affiche CVE-2026-60004 comme « RESERVED » : l'ID a été réservé par un CNA et l'enregistrement devrait être mis à jour lorsque les détails seront disponibles. Cela contraste avec la présence de la description NVD et des données KEV déjà publiées. L'enregistrement CVE ne fournit donc pas de détails techniques supplémentaires.

Le second est une incohérence dans la source journalistique. SecurityAffairs ouvre l'article en définissant la faille comme un défaut d'Oracle HTTP Server et Oracle WebLogic Server Proxy Plug-in, mais l'identifiant CVE et toutes les autres sources officielles décrivent une vulnérabilité de Gitea. Le produit correct est Gitea.

Ces divergences ne changent pas le fond : la vulnérabilité est réelle, elle a été exploitée activement et son échéance fédérale est très proche. Quiconque gère des instances Gitea, surtout si elles sont exposées avec enregistrement ouvert, devrait vérifier la version en usage et appliquer la mise à jour sans attendre la confirmation de tous les détails techniques.