Giteaにコード注入の脆弱性、実地で悪用を確認 — CISAが8月28日までに対応を要請

要点

• 米サイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は2026年8月25日、Giteaのコード注入脆弱性 CVE-2026-60004 を「既知の悪用された脆弱性カタログ（KEV）」に追加した。
• CISAは脆弱性を「リポジトリへの書き込み権限を持つ攻撃者がdiffpatch APIエンドポイントへ細工したパッチを送り、実行可能なGitフックを植え付けてGiteaサービス権限でシェルコマンドを実行できる」と説明している。GitHubのセキュリティアドバイザリ GHSA-rcr6-4jqh-j84m は深刻度を Critical と評価している。
• 修正版は Gitea 1.27.1（2026年7月27日公開）で提供済みだ。CISAは2026年8月28日を対応期限とし、クラウド利用者はBOD 26-04に従った対応を、対策が無い場合は利用停止を検討するよう求めている。

何が起きたか

CISAが公開するKEVのJSONフィードは、CVE-2026-60004について「Gitea Code Injection Vulnerability」として次のように記載している。対象はGitea、登録日は2026年8月25日、要求される対応はベンダー指示に従った緩和策の適用、期限は2026年8月28日だ。

GitHub Advisory GHSA-rcr6-4jqh-j84mは、報告者をTheFox0x7、影響バージョンを 1.17以上1.27.1未満、修正バージョンを 1.27.1 と明記している。脆弱性の種類は CWE-94（コードインジェクション） だ。

同アドバイザリによると、原因は services/repository/files/patch.go が攻撃者管理のパッチを共有の一時ベアクローンで適用する処理にある。Gitコマンド git apply --index --recount --cached --binary に加え、Git 2.32以降では -3（three-way）が付与される。同一パッチを2回送信するとadd/addの衝突が発生し、Gitのthree-wayフォールバックが --cached 操作中にもかかわらずインデックス上のパスをチェックアウトする。ベアリポジトリではリポジトリルートが $GIT_DIR そのものであるため、hooks/post-index-change という名前の実行可能エントリがそのまま有効なGitフックとして配置される。Gitがインデックス書き込み時に同フックを呼び出すことで、リポジトリ側が用意した内容がGiteaのOSユーザ権限で実行される。

攻撃の条件と影響

GitHub Advisoryは、悪用の前提を次のように整理している。

• Git 2.32以降 が必要
• diffpatchルートが有効 であること
• 一時ファイルシステムが書き込み・実行可能 であること

権限面では「リポジトリへの通常の書き込み権限を持つ攻撃者が任意のシェルコマンドを実行できる」としている。初期設定でオープン登録（誰でもアカウントを作成できる状態）が有効な環境では、未認証の訪問者がアカウント登録とリポジトリ作成を経ることで同じ権限を得られる。

影響について同アドバイザリは、Giteaサービスとして動作するOSユーザの権限が奪われることで、設定ファイル app.ini やアプリの秘密情報、プロセスの環境変数、マウントされたリポジトリ、データベースの認証情報や内容、OAuthや連携サービスの認証情報、内部・外部から到達可能な他サービスが露出する可能性があると説明している。

PoCは gitea_diffpatch_rce_poc.py としてアドバイザリに添付されており、既存アカウントでプライベートリポジトリを作成し、実行可能フックを含む同一パッチを2回送信、結果をGitオブジェクトとブランチに格納して認証済みのsmart HTTP経由で回収する手法が示されている。実行結果は外部へのアウトバウンド接続なしに取得できるとしている。

CISAは「既知のランサムウェアキャンペーンでの使用」は Unknown と分類している。

修正と対応

Giteaプロジェクトは2026年7月27日に v1.27.1 を公開し、本脆弱性を含むセキュリティ修正を提供した。影響を受けるバージョンを利用している管理者は、同バージョン以降への更新が必要だ。

CISAはKEV登録に際し、ベンダー指示に従った緩和策の適用と、BOD 26-04「リスクに基づくセキュリティ更新の優先順位付け」および同実装ガイダンスの「Forensics Triage Requirements」に準拠した対応を求めている。クラウドサービスを利用している場合はBOD 26-04のクラウド向けガイダンスに従い、緩和策が提供されない製品は利用停止を検討するよう呼びかけている。

Giteaをセルフホストしている組織は、インターネット公開の有無にかかわらず、対象バージョンの有無を確認し、修正版への更新を優先すべきだ。オープン登録を有効にしている場合は、登録ポリシーの見直しも併せて検討することが望ましい。

出典

• GitHub Advisory GHSA-rcr6-4jqh-j84m「Remote Code Execution via diffpatch Git Hook Installation」 https://github.com/go-gitea/gitea/security/advisories/GHSA-rcr6-4jqh-j84m
• CISA Known Exploited Vulnerabilities Catalog（JSONフィード、CVE-2026-60004は2026-08-25登録、期限2026-08-28） https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
• Gitea Release v1.27.1（2026-07-27公開） https://github.com/go-gitea/gitea/releases/tag/v1.27.1