Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-94

CVE-2026-60004

Gitea diffpatch API üzerinden Git hook ile uzaktan kod çalıştırma açığı

Gitea

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
8 Eyl 2026
Açık yaşı
62 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 25 Ağu 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 28 Ağu 2026.

Yönetici özeti

Kod depolarınızı yöneten Gitea yazılımında, saldırganların sunucuyu uzaktan ele geçirmesine imkân veren kritik bir açık var ve bu açık şu anda gerçek saldırılarda kullanılıyor. Kaynak kodlarınız ve bunlara bağlı gizli bilgiler risk altında olabilir. Güncellemenin gecikmeden yapılması gerekir.

ÖzetTürkçe

Gitea'nın diffpatch API'sindeki bir kod enjeksiyonu (CWE-94) açığı, Git hook kurulumu yoluyla uzaktan kod çalıştırılmasına izin veriyor. Kimlik doğrulama veya kullanıcı etkileşimi gerektirmeden ağ üzerinden istismar edilebiliyor. 1.17 ile 1.27.1 öncesi sürümleri (1.27.1 hariç) etkiliyor. Açık, CISA tarafından aktif olarak istismar edilen açıklar listesine (KEV) eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan, Gitea sunucusunda kendi belirlediği kodu çalıştırarak sunucuyu ele geçirebilir. Bu durum depolardaki kaynak kodlarının ve gizli bilgilerin okunmasına veya değiştirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

Gitea before 1.27.1 allows remote code execution via the diffpatch API through Git hook installation.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. Gitea'yı 1.27.1 sürümüne veya daha yeni bir sürüme güncelleyin. Üretici
  2. CISA KEV gereği, üreticinin talimatlarına uygun olarak azaltım önlemlerini uygulayın, internete açık varlıklarınızı değerlendirin ve CISA'nın BOD 26-04 yama yönergelerine ile adli bilişim triyaj gereksinimlerine uyun. Azaltım önlemleri mevcut değilse ürünün kullanımını bırakın. CISA
  3. Güncelleme yapılana kadar Gitea'ya internetten erişimi kısıtlayın; erişimi yalnızca güvenilir ağlar veya VPN üzerinden verin. Genel öneri
  4. Güncelleme sonrasında sunucuyu olası ele geçirilme belirtileri açısından inceleyin; depolardaki beklenmedik Git hook dosyalarını ve olağandışı süreçleri kontrol edin. Genel öneri

Ek önlemler

  • Gitea'yı yalnızca gerekli yetkilere sahip, ayrıcalıksız bir sistem kullanıcısıyla çalıştırın ve sunucuyu diğer sistemlerden ağ düzeyinde ayırın. Genel öneri
  • diffpatch API'sine yapılan olağandışı istekleri ve depo hook dizinlerindeki değişiklikleri günlüklerde izleyin. Genel öneri
  • Gitea'da saklanan erişim anahtarlarını, jetonları ve parolaları, ele geçirilme şüphesi varsa yenileyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Gitea ≥ 1.17, < 1.27.1 1.27.1

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı
  2. CISA KEV listesine eklendi (saldırılarda kullanılıyor)

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.