Gitea CVE-2026-60004 RCE漏洞遭在野利用

资讯专家

CISA 已将 Gitea 的一个远程代码执行漏洞 CVE-2026-60004 列入已知被利用漏洞（KEV）目录，并确认该漏洞已在野被利用。该漏洞由 Gitea 开发者在 7 月底发布的 1.27.1 版本中修复。CISA 要求联邦机构在 8 月 28 日前完成修补。

根据 CISA 的公告，该漏洞属于代码注入问题：具有仓库写权限的攻击者可以向 diffpatch API 端点发送恶意补丁，从而植入可执行的 Git hook，并以 Gitea 服务账户身份执行任意 shell 命令。目前尚未有更早的利用报告，攻击者身份和攻击意图也暂不清楚。

此前，7 月初已有另一个 Gitea 漏洞 CVE-2026-20896 被在野利用，但该漏洞尚未被加入 CISA 的 KEV 目录。建议自建 Gitea 实例的用户尽快升级到 1.27.1 或更高版本，并检查仓库中是否存在可疑的 Git hook 和异常 diff 操作。