Gitea sous attaque : RCE critique exploitée pour du cryptojacking, la CISA impose un correctif avant le 28 août

Une injection de code avec un CVSS de 9,8 entre dans le catalogue KEV

Le 25 août 2026, la CISA a ajouté CVE-2026-60004 au Known Exploited Vulnerabilities Catalog, sur la base de preuves d'exploitation active. La vulnérabilité concerne Gitea, la plateforme Git auto-hébergée open source, et est décrite comme une injection de code avec un score CVSS de 9,8.

Selon la description officielle, la faille permet à un attaquant disposant d'un accès en écriture à un dépôt d'envoyer un correctif malveillant au point de terminaison API diffpatch. L'objectif est d'installer un crochet Git exécutable et d'obtenir l'exécution de commandes shell avec les privilèges du compte de service de Gitea.

La CISA a confirmé l'exploitation dans la nature, mais n'a pas diffusé de détails sur les modes opératoires ni d'attributions. On ignore également si la CVE est utilisée dans des campagnes de ransomware : le drapeau "Known To Be Used in Ransomware Campaigns" est Unknown.

Le vecteur : enregistrement ouvert et crochets Git

Le chercheur crédité pour la découverte est Shai rod, également connu sous le nom de NightRang3r. Le point de terminaison diffpatch peut être abusé pour transformer des contenus contrôlés par le dépôt en un crochet Git exécutable. À partir de là, l'attaquant exécute des commandes en tant que compte de service, en contournant les contrôles applicatifs.

La condition qui rend l'attaque particulièrement dangereuse est l'enregistrement ouvert par défaut de Gitea. Avec ce paramètre, un visiteur non authentifié peut enregistrer un compte, créer un dépôt et obtenir les permissions en écriture nécessaires pour lancer l'attaque. Aucune information d'identification préexistante ni aucun accès privilégié n'est nécessaire.

Les versions concernées couvrent toutes les versions de Gitea à partir de la 1.17. Le correctif a été publié dans la version 1.27.1. Le matériel CISA/NVD ne liste pas explicitement les versions affectées ; la donnée provient de l'avis du fournisseur.

Cryptojacking observé sur une instance personnelle

Une analyse indépendante publiée récemment décrit une attaque concrète contre une instance Gitea personnelle. Un acteur non identifié a exploité CVE-2026-60004 pour distribuer un dropper de type mineur de cryptomonnaie.

L'incident a émergé après un e-mail du fournisseur d'hébergement HOSTKEY. Le fournisseur signalait que le serveur virtuel avait dépassé 70 % de la capacité du CPU pendant une période prolongée, en violation des conditions de service. HOSTKEY a temporairement limité les ressources CPU de la VPS.

La configuration de l'instance compromise était particulièrement exposée : DISABLE_REGISTRATION était défini sur false, REGISTER_EMAIL_CONFIRM sur false, ENABLE_OPENID_SIGNUP sur true et REQUIRE_SIGNIN_VIEW sur false. Le SSH de Gitea n'était pas exposé : le vecteur d'attaque est passé entièrement via HTTPS.

Avant de distribuer la charge utile, le dropper a exécuté une séquence d'opérations : nettoyage de LD_PRELOAD et LD_LIBRARY_PATH, recherche de processus avec une utilisation élevée du CPU, tentative de terminaison de processus concurrents, téléchargement de la charge utile en fonction de l'architecture du système, écriture sur disque et exécution, enfin suppression du fichier. La nature exacte de la charge utile de deuxième étape n'est pas connue : il n'y a pas d'informations confirmées sur les pools de minage, les portefeuilles, la famille de mineurs ou l'opérateur. L'augmentation de l'utilisation du CPU reste cohérente avec une campagne de cryptojacking contre des instances Gitea vulnérables.

On ne sait pas si la CISA a ajouté la CVE au KEV en raison de cette attaque spécifique ou si elle a recueilli d'autres preuves d'exploitation contre des serveurs Gitea non corrigés.

Mesures d'atténuation et échéances pour les agences fédérales

L'action requise par la CISA est d'appliquer les mesures d'atténuation selon les instructions du fournisseur, conformément à la BOD 26-04 "Prioritizing Security Updates Based on Risk" et aux "Forensics Triage Requirements". Les agences fédérales américaines doivent terminer la remédiation avant le 28 août 2026.

Pour cette entrée, la CISA n'exige pas de triage forensique obligatoire : le champ "Forensic triage required per BOD-26-04" est défini sur No. Toutefois, la BOD 26-04 établit tout de même des contrôles pré-correctif pour les agences fédérales, en particulier pour les actifs exposés sur Internet.

La principale mesure d'atténuation est de mettre à jour Gitea vers la version 1.27.1 ou ultérieure. Pour les services cloud, les organisations doivent suivre les directives BOD 26-04 ou bien mettre hors service le produit si les mesures d'atténuation ne sont pas disponibles.

Bien qu'elle ne soit pas indiquée formellement comme solution de contournement dans l'avis, l'analyse de l'incident met en évidence que les instances avec enregistrement ouvert, confirmation par e-mail désactivée, inscription OpenID activée et visualisation sans connexion sont particulièrement exposées. Limiter l'enregistrement et exiger la confirmation par e-mail peut réduire la surface d'attaque.

Un KEV sous pression ces dernières semaines

CVE-2026-60004 n'est pas la seule entrée récente dans le catalogue KEV. Entre le 18 et le 24 août 2026, plusieurs vulnérabilités critiques avec des échéances de remédiation rapprochées sont entrées dans le catalogue : CVE-2026-65400 (CVSS 9,8) avec échéance le 21 août, CVE-2026-55040 (CVSS 9,1) avec échéance le 21 août, CVE-2026-73570 (CVSS 8,9) avec échéance le 24 août et CVE-2026-21962 (CVSS 10) avec échéance le 27 août.

Cette séquence montre une pression croissante sur les organisations pour réduire les délais de correction. L'échéance du 28 août pour Gitea laisse aux agences fédérales à peine trois jours à partir du moment de l'ajout au KEV : un intervalle particulièrement court, cohérent avec l'approche de la BOD 26-04 pour les vulnérabilités à haut risque sur des actifs publiquement exposés.