CISA inserisce una vulnerabilità di Gitea nel catalogo KEV: sfruttata per eseguire codice e installare miner

L'inserimento nel KEV e la scadenza del 28 agosto

Il 25 agosto 2026 la Cybersecurity and Infrastructure Security Agency (CISA) ha aggiunto la vulnerabilità CVE-2026-60004 al catalogo Known Exploited Vulnerabilities (KEV). L'inserimento si basa su prove di sfruttamento attivo.

La scadenza per la remediation da parte delle agenzie federali civili statunitensi (FCEB) è fissata al 28 agosto 2026. Si tratta di una finestra di tre giorni, coerente con la direttiva operativa BOD 26-04 che impone la correzione rapida delle vulnerabilità ad alto rischio quando consentono il controllo totale di un asset esposto.

La falla riguarda Gitea, piattaforma open-source per l'hosting e la gestione di repository Git, spesso utilizzata come alternativa self-hosted a GitHub o GitLab. CISA la classifica come vulnerabilità di code injection e la indica come vettore d'attacco frequente per attori malevoli.

Come funziona la falla: dalla patch malevola all'esecuzione di comandi

La descrizione tecnica parafrasata dal National Vulnerability Database (NVD) indica che Gitea contiene una vulnerabilità di code injection. Un attaccante con accesso in scrittura a un repository può inviare una patch malevola all'endpoint diffpatch API.

Attraverso questa API è possibile installare un Git hook eseguibile e ottenere l'esecuzione di comandi shell come account di servizio di Gitea. In pratica, l'attaccante non deve compromettere il server direttamente: gli basta poter creare o modificare un repository.

Un elemento critico segnalato dalla fonte giornalistica SecurityAffairs è che Gitea abilita la registrazione aperta per impostazione predefinita. Di conseguenza, un attaccante non autenticato può creare un account, creare un repository e sfruttare la falla senza possedere credenziali preesistenti.

Versioni coinvolte e correzione: il quadro resta incerto

Le versioni esatte interessate non sono riportate né nell'avviso CISA né nel record NVD disponibile. Secondo SecurityAffairs, la vulnerabilità interessa Gitea a partire dalla versione 1.17 ed è stata corretta nella versione 1.27.1.

Il dato sulle versioni proviene quindi da un'unica fonte giornalistica. Non è al momento confermato da documentazione ufficiale del progetto Gitea.

Anche il punteggio di gravità CVSS 9,8 (critico) è riportato esclusivamente da SecurityAffairs. Gli estratti ufficiali NVD e CISA non includono né il vettore CVSS né la classificazione CWE. L'impatto descritto, tuttavia, è di esecuzione remota di codice come utente di servizio Gitea, coerente con una gravità critica.

Attacco osservato: registrazione aperta e miner

SecurityAffairs riporta un attacco osservato che ha sfruttato la falla per distribuire un payload simile a un cryptocurrency miner. L'istanza Gitea compromessa era esposta su internet e consentiva sia la registrazione aperta sia l'accesso anonimo all'interfaccia web.

Questo scenario abbassa la barriera d'ingresso: l'attaccante non ha bisogno di rubare credenziali o di violare un account esistente. Gli basta raggiungere un'istanza vulnerabile con registrazione aperta, creare un account e un repository, quindi inviare la patch malevola.

La combinazione tra esposizione pubblica, registrazione aperta e falla di code injection rende la vulnerabilità particolarmente adatta ad attacchi automatizzati su larga scala, come quelli che distribuiscono miner o botnet.

Cosa fare: patch e requisiti federali

Per le organizzazioni che utilizzano Gitea, la mitigazione principale indicata è aggiornare alla versione 1.27.1 o successiva. Anche in questo caso, il dato sulla versione di fix proviene dalla sola fonte giornalistica: l'azione KEV ufficiale non indica una versione specifica nel frammento disponibile, ma rimanda alle istruzioni del vendor.

Le agenzie federali statunitensi devono conformarsi alla BOD 26-04: applicare le mitigazioni del vendor, eseguire le verifiche di triage forense e, per i servizi cloud, seguire la guida della direttiva oppure cessare l'uso del prodotto se le mitigazioni non sono disponibili.

La BOD 26-04 si applica formalmente solo alle agenzie FCEB, ma CISA incoraggia tutte le organizzazioni ad adottare una gestione delle vulnerabilità basata sul rischio e a dare priorità alle CVE presenti nel catalogo KEV.

Va segnalata una divergenza tra le fonti: SecurityAffairs cita la precedente BOD 22-01, mentre le fonti ufficiali CISA e NVD citano la BOD 26-04. Il riferimento attuale dell'avviso CISA è la BOD 26-04.

Record CVE "reserved" e divergenze tra le fonti

Due elementi rendono il quadro informativo ancora incompleto.

Il primo riguarda lo stato del record CVE. Al momento della consultazione, la pagina del CVE Program (cve.org) mostra CVE-2026-60004 come "RESERVED": l'ID è stato riservato da un CNA e il record dovrebbe essere aggiornato quando i dettagli saranno disponibili. Questo contrasta con la presenza della descrizione NVD e dei dati KEV già pubblicati. Il record CVE non fornisce quindi dettagli tecnici aggiuntivi.

Il secondo è una incongruenza nella fonte giornalistica. SecurityAffairs apre l'articolo definendo la falla come un difetto di Oracle HTTP Server e Oracle WebLogic Server Proxy Plug-in, ma l'identificativo CVE e tutte le altre fonti ufficiali descrivono una vulnerabilità di Gitea. Il prodotto corretto è Gitea.

Queste divergenze non cambiano la sostanza: la vulnerabilità è reale, è stata sfruttata attivamente e ha una scadenza federale molto ravvicinata. Chi gestisce istanze Gitea, soprattutto se esposte con registrazione aperta, dovrebbe verificare la versione in uso e applicare l'aggiornamento senza attendere la conferma di tutti i dettagli tecnici.