Shadowserver насчитал 8393 доступных извне сервера Gitea, уязвимых для CVE-2026-60004 с оценкой 9,8 по CVSS 3.1. Уязвимость уже используют в реальных атаках с удалённым выполнением кода, а CISA внесло её в каталог активно эксплуатируемых.
Проблема связана с API diffpatch. Пользователь с правом записи может внедрить команды через Git hook и выполнить их от имени системной учётной записи Gitea. При включённой самостоятельной регистрации злоумышленнику достаточно создать аккаунт и собственный репозиторий, поэтому отдельные учётные данные ему не нужны.
Для доступных из интернета серверов риск особенно высок. Gitea закрыла уязвимость в версии 1.27.1, поэтому стоит проверить установленную версию и наличие неизвестных аккаунтов, репозиториев и Git hooks. Если сервер ещё работает на уязвимой сборке, переход на 1.27.1 или новее закрывает используемый сейчас путь для выполнения команд.