Servidores Gitea vulneráveis: falha em exploração
Mais de 8,3 mil servidores Gitea vulneráveis continuavam expostos à internet em 27 de agosto de 2026, segundo a organização Shadowserver. O problema é a CVE-2026-60004, uma falha crítica de injeção de código que pode permitir a execução de comandos no sistema operacional por meio da API diffpatch. A correção está disponível desde 27 de julho, na versão 1.27.1, mas os ataques já são considerados ativos. Administradores devem atualizar a plataforma, revisar o registro aberto e investigar sinais de comprometimento.
Tabela de conteúdos
O que está acontecendo
A CVE-2026-60004 afeta instâncias que ainda não receberam o Gitea 1.27.1. Com acesso comum de escrita a um repositório, um invasor pode abusar do endpoint diffpatch para instalar e executar um Git hook, rodando comandos com os privilégios da conta de serviço do Gitea.
Como a falha crítica no Gitea pode ser explorada
A exploração exige, em princípio, permissão para gravar em um repositório hospedado no servidor afetado. Porém, esse requisito pode ser simples de cumprir quando o registro de usuários está aberto — uma configuração padrão da plataforma. Nesse cenário, um visitante cria uma conta, abre um repositório e passa a ter o acesso de escrita necessário para acionar a vulnerabilidade.
“Um invasor com acesso de escrita comum a um repositório pode executar comandos arbitrários do shell como o usuário do sistema operacional do Gitea.”
Equipe de segurança do Gitea, em aviso sobre a CVE-2026-60004
Na prática, uma execução remota de código oferece ao atacante uma porta para instalar ferramentas maliciosas, alterar arquivos, coletar credenciais disponíveis ao processo e avançar pela infraestrutura, conforme os privilégios e a segmentação do ambiente. A fonte relata indícios de uso de malware de criptomineração contra servidores sem correção. Isso não significa que toda instância exposta tenha sido invadida, mas reforça a urgência da gestão de patches.
Shadowserver identifica 8.393 IPs expostos
O Shadowserver informou ter encontrado 8.393 endereços IP vulneráveis em sua medição de 27 de agosto de 2026. O total representa instâncias detectáveis na internet e não necessariamente o número absoluto de instalações afetadas. Ainda assim, a dimensão do levantamento mostra que milhares de servidores Gitea vulneráveis permaneciam sem o patch semanas após a publicação da atualização.
Atualizar para o Gitea 1.27.1 é a principal medida de correção; restringir o auto-registro reduz a superfície de ataque enquanto a atualização é planejada.
CISA inclui CVE-2026-60004 no catálogo KEV
A CISA, agência de cibersegurança dos Estados Unidos, adicionou a falha ao catálogo de Vulnerabilidades Conhecidamente Exploradas (KEV). A inclusão é um sinal relevante: a agência considera que existe exploração em ambiente real e que o defeito traz risco significativo. De acordo com a reportagem original, órgãos federais civis do país receberam prazo de três dias, até 28 de agosto, para aplicar a correção, sob a diretriz BOD 26-04.
O que administradores devem fazer agora
- Atualize o Gitea para a versão 1.27.1 ou posterior, seguindo o procedimento oficial e realizando backup antes da mudança.
- Desative temporariamente o registro aberto se ele não for indispensável, ou limite novas contas por aprovação administrativa.
- Mapeie instâncias expostas à internet, incluindo servidores esquecidos, ambientes de teste e instalações atrás de proxy reverso.
- Revise logs e processos em busca de criação suspeita de repositórios, hooks inesperados, comandos anormais e consumo elevado de CPU.
- Troque segredos potencialmente acessíveis e siga o plano de resposta a incidentes se houver evidências de execução não autorizada.
Por que a exposição exige atenção
O Gitea é uma alternativa auto-hospedada a GitHub, GitLab e Bitbucket, usada para hospedar código, automações e projetos internos. Segundo a matéria de origem, a comunidade reúne mais de 400 mil instalações e quase 1.500 colaboradores. Por isso, proteger a conta de serviço, os repositórios e os tokens associados é tão importante quanto aplicar o patch. Em julho, outra falha crítica, a CVE-2026-20896, também atingiu imagens Docker oficiais em configurações com cabeçalhos de autenticação de proxy reverso habilitados.
Perguntas frequentes sobre servidores Gitea vulneráveis
Qual versão corrige a CVE-2026-60004 no Gitea?
A correção foi publicada no Gitea 1.27.1. Atualize para essa versão ou uma posterior e valide a conclusão do procedimento nos seus servidores.
A CVE-2026-60004 exige login para ser explorada?
Ela exige acesso de escrita a um repositório. Porém, o registro aberto padrão pode permitir que um visitante crie conta e repositório para obter esse acesso.
O que a falha diffpatch API permite fazer?
A vulnerabilidade pode permitir a execução de comandos de shell pela conta de serviço do Gitea, mediante abuso de conteúdo controlado no repositório e Git hook.
Como verificar se há comprometimento em um servidor Gitea?
Revise logs, repositórios recém-criados, hooks inesperados, processos desconhecidos e picos de CPU. Havendo indícios, isole o host e acione a resposta a incidentes.
Considerações finais
O alerta sobre servidores Gitea vulneráveis combina três fatores de alto risco: falha crítica, exploração ativa e exposição pública de milhares de IPs. A prioridade é instalar a versão 1.27.1, limitar cadastros abertos e verificar possíveis sinais de abuso da API diffpatch. As informações foram adaptadas e traduzidas da reportagem de Sergiu Gatlan, publicada pelo BleepingComputer em 28 de agosto de 2026, com referência ao aviso do Gitea, à Shadowserver e à CISA. Não foram identificados vídeos ou incorporações de YouTube, X/Twitter ou Instagram pertinentes na fonte; por isso, nenhuma incorporação social foi adicionada.
