Gitea sotto attacco: RCE critica sfruttata per cryptojacking, CISA impone la patch entro il 28 agosto

Una code injection da CVSS 9.8 finisce nel catalogo KEV

Il 25 agosto 2026 la CISA ha inserito CVE-2026-60004 nel Known Exploited Vulnerabilities Catalog, sulla base di evidenze di sfruttamento attivo. La vulnerabilità riguarda Gitea, la piattaforma Git self-hosted open source, e viene descritta come una code injection con punteggio CVSS 9.8.

Secondo la descrizione ufficiale, la falla consente a un attaccante con accesso in scrittura a un repository di inviare una patch malevola all’endpoint API diffpatch. L’obiettivo è installare un hook Git eseguibile e ottenere l’esecuzione di comandi shell con i privilegi dell’account di servizio di Gitea.

CISA ha confermato lo sfruttamento in natura, ma non ha diffuso dettagli sulle modalità operative né attribuzioni. Non è noto nemmeno se la CVE sia utilizzata in campagne ransomware: il flag “Known To Be Used in Ransomware Campaigns” risulta Unknown.

Il vettore: registrazione aperta e hook Git

Il ricercatore accreditato per la scoperta è Shai rod, noto anche come NightRang3r. L’endpoint diffpatch può essere abusato per trasformare contenuti controllati dal repository in un hook Git eseguibile. Da lì l’attaccante esegue comandi come account di servizio, scavalcando i controlli applicativi.

La condizione che rende l’attacco particolarmente pericoloso è la registrazione aperta predefinita di Gitea. Con questa impostazione, un visitatore non autenticato può registrare un account, creare un repository e ottenere i permessi di scrittura necessari per sferrare l’attacco. Non servono credenziali preesistenti né accessi privilegiati.

Le versioni interessate coprono tutte le release di Gitea a partire dalla 1.17. La correzione è stata rilasciata nella versione 1.27.1. Il materiale CISA/NVD non elenca esplicitamente le versioni affette; il dato proviene dall’advisory del vendor.

Cryptojacking osservato su un’istanza personale

Un’analisi indipendente pubblicata di recente descrive un attacco concreto contro un’istanza Gitea personale. Un attore non identificato ha sfruttato CVE-2026-60004 per distribuire un dropper di tipo cryptocurrency miner.

L’incidente è emerso dopo una e-mail del provider di hosting HOSTKEY. Il fornitore segnalava che il server virtuale aveva superato il 70% della capacità della CPU per un periodo prolungato, violando i termini di servizio. HOSTKEY ha temporaneamente limitato le risorse CPU della VPS.

La configurazione dell’istanza compromessa era particolarmente esposta: DISABLE_REGISTRATION era impostato su false, REGISTER_EMAIL_CONFIRM su false, ENABLE_OPENID_SIGNUP su true e REQUIRE_SIGNIN_VIEW su false. L’SSH di Gitea non era esposto: il vettore d’attacco è passato interamente via HTTPS.

Prima di distribuire il payload, il dropper ha eseguito una sequenza di operazioni: pulizia di LD_PRELOAD e LD_LIBRARY_PATH, ricerca di processi con alto uso di CPU, tentativo di terminare processi concorrenti, scaricamento del payload in base all’architettura di sistema, scrittura su disco ed esecuzione, infine eliminazione del file. La natura esatta del payload di secondo stadio non è nota: non ci sono informazioni confermate su mining pool, wallet, famiglia di miner o operatore. L’aumento dell’uso della CPU resta coerente con una campagna di cryptojacking contro istanze Gitea vulnerabili.

Non è chiaro se CISA abbia inserito la CVE nel KEV a causa di questo specifico attacco o se abbia raccolto altre evidenze di sfruttamento contro server Gitea non patchati.

Mitigazioni e scadenze per le agenzie federali

L’azione richiesta da CISA è applicare le mitigazioni secondo le istruzioni del vendor, in conformità con la BOD 26-04 “Prioritizing Security Updates Based on Risk” e con i “Forensics Triage Requirements”. Le agenzie federali USA devono completare la remediation entro il 28 agosto 2026.

Per questa voce CISA non richiede triage forense obbligatorio: il campo “Forensic triage required per BOD-26-04” è impostato su No. Tuttavia, la BOD 26-04 stabilisce comunque controlli pre-patch per le agenzie federali, in particolare per gli asset esposti su Internet.

La mitigazione principale è aggiornare Gitea alla versione 1.27.1 o successiva. Per i servizi cloud, le organizzazioni devono seguire le linee guida BOD 26-04 oppure dismettere il prodotto se le mitigazioni non sono disponibili.

Sebbene non sia indicata formalmente come workaround nell’advisory, l’analisi dell’incidente evidenzia che le istanze con registrazione aperta, conferma email disabilitata, OpenID signup abilitato e visualizzazione senza login risultano particolarmente esposte. Limitare la registrazione e richiedere la conferma email può ridurre la superficie d’attacco.

Un KEV sotto pressione nelle ultime settimane

CVE-2026-60004 non è l’unica voce recente nel catalogo KEV. Tra il 18 e il 24 agosto 2026 sono entrate nel catalogo diverse vulnerabilità critiche con scadenze di remediation ravvicinate: CVE-2026-65400 (CVSS 9.8) con scadenza 21 agosto, CVE-2026-55040 (CVSS 9.1) con scadenza 21 agosto, CVE-2026-73570 (CVSS 8.9) con scadenza 24 agosto e CVE-2026-21962 (CVSS 10) con scadenza 27 agosto.

Questa sequenza mostra una pressione crescente sulle organizzazioni per ridurre i tempi di patching. La scadenza del 28 agosto per Gitea lascia alle agenzie federali appena tre giorni dal momento dell’inserimento nel KEV: un intervallo particolarmente stretto, coerente con l’approccio della BOD 26-04 per le vulnerabilità ad alto rischio su asset pubblicamente esposti.