Giteaの重大なRCE脆弱性「CVE-2026-60004」に悪用報告 CISAが警告、マイナー設置の被害も
要点
-
米CISAが、Gitサービス「Gitea」に存在する重大なRCE脆弱性「CVE-2026-60004」（CVSS 9.8）の悪用を確認し警告を発した。
-
パッチ処理エンドポイントの欠陥により、リポジトリの書き込み権限があればOS上で任意のシェルコマンドを実行できる。
-
初期設定で誰でもアカウント登録が可能なため、外部の攻撃者が自ら権限を獲得して悪用を成立させられる。
-
バージョン1.17以降の全バージョンが影響を受け、修正済みのバージョン1.27.1がすでに提供されている。
-
実際に脆弱性を突かれ、仮想通貨マイナー風のプログラムを送り込まれてサーバーのCPU制限に至った被害事例が報告されている。
-
米サイバーセキュリティ・社会基盤安全保障庁（CISA）は2026年8月25日、オープンソースのGitリポジトリ管理ソフトウェア「Gitea」に存在する重大なリモートコード実行（RCE：遠隔から任意の命令を実行させる攻撃手法）の脆弱性「CVE-2026-60004」が、実際のサイバー攻撃で活発に悪用されていると警告した。CISAは同脆弱性を「悪用が確認された脆弱性（KEV）カタログ」に追加し、米連邦機関に対して2026年8月28日までのパッチ適用を義務付けている。この警告と相前後して、一般の開発者からも自身のサーバーが攻撃を受け、暗号資産マイニングとみられる不正プログラムを送り込まれた被害事例が報告されている。
CVSSスコア9.8の重大な脆弱性とコード実行の仕組み
今回悪用が確認された「CVE-2026-60004」は、脆弱性の深刻度を示す共通指標であるCVSSスコアで「9.8」と評価される極めて深刻な欠陥だ。セキュリティ研究者のShai rod（別名 NightRang3r）氏が発見・報告したもので、Giteaのバージョン1.17以降の全バージョンに影響する。先月リリースされたバージョン1.27.1で修正されている。
GiteaのアドバイザリやCISAの説明によると、本欠陥はパッチ処理を受け付ける「diffpatch」APIエンドポイントにおけるコードインジェクション（外部からの不正なコード挿入）の不備に起因する。リポジトリへの書き込み権限を持つ攻撃者が細工したパッチを送信することで、リポジトリ管理下のデータから任意のGitフック（Gitの特定イベントに応じて自動実行されるスクリプト）を設置・実行させることが可能になる。これにより、攻撃者はGiteaを実行するOSのサービスアカウント権限で任意のシェルコマンドを実行できる状態になるという。
初期設定の「オープン登録」が悪用を容易にする構図
本脆弱性を利用するAPI呼び出し自体は、ユーザー認証と対象リポジトリへの書き込み権限を必要とする。しかし、Giteaがデフォルトで誰でもアカウントを新規登録できる「オープン登録」を有効にしている点が、攻撃の成立を容易にしていると指摘されている。
事前のアカウントを持たない外部の攻撃者であっても、サーバーにアクセスしてアカウントを自ら新規登録し、リポジトリを作成するだけで必要な書き込み権限を取得できる。そのため、既存の認証情報を窃取することなく、外部からHTTPS経由でエクスプロイト（脆弱性を悪用する攻撃コード）を発動させることが可能となっている。
報告された実被害――CPU使用率超過による制限とドロッパーの挙動
CISAはKEVカタログ追加に際して具体的な攻撃手法や主体の詳細を明示していないが、フルスタック開発者のAndrey（@Causelof）氏がロシアの技術ブログ「Habr」で実際の侵害事例を公表している。
Andrey氏によると、自身が運用するGiteaサーバーがCVE-2026-60004を悪用した攻撃を受け、暗号資産マイナー風のドロッパー（外部から不正プログラムを取得・実行するスクリプト）を送り込まれたという。利用中のホスティング事業者「HOSTKEY」から、VPS（仮想専用サーバー）のCPU使用率が長時間70%を超過し利用規約に違反したため、リソースを一時制限された通知が届いて発覚した。同氏の環境では新規登録が無効化されておらず（DISABLE_REGISTRATION = false）、メール確認が無効（REGISTER_EMAIL_CONFIRM = false）、OpenID登録が有効（ENABLE_OPENID_SIGNUP = true）といった設定になっており、SSHポートは非公開で攻撃はHTTPS経由で行われた。
侵入したドロッパーは、マイナー風ペイロード（攻撃の実体データ）の配置前に以下の処理を実行していたとされる。
LD_PRELOADおよびLD_LIBRARY_PATHをクリアして実行環境を初期化- CPU使用率の高いプロセスを探索し、競合するプロセスを強制終了（kill）
- システムアーキテクチャに適したペイロードを外部から取得
- ペイロードをディスクに書き込んで実行
- 実行後、証拠隠滅のためにダウンロードしたファイルを削除
ペイロード自体の詳細解析は行われていないが、急激なCPU負荷の上昇から暗号資産の不正採掘（クリプトジャッキング）を目的とした攻撃とみられている。
連邦機関への義務付けと対応状況
今回のCISAによるKEVカタログ追加がこの個別事例によるものか、米国内の別サーバーへの攻撃を検知したためかは明らかになっていない。CISAは米連邦機関に対し、リスクに基づくアプローチで優先順位をつけつつ、2026年8月28日までに該当脆弱性のパッチを適用するよう求めている。