Op internet zijn ruim achtduizend Gitea-servers te vinden, waaronder meer dan tweehonderd in Nederland, die een actief misbruikt beveiligingslek bevatten, zo laat The Shadowserver Foundation vandaag op basis van eigen onderzoek weten. Een beveiligingsupdate voor het probleem is al sinds eind juli beschikbaar. Gitea is een self-hosted Git service en wordt een open source alternatief voor GitHub genoemd. Het wordt gebruikt voor de ontwikkeling van software.

Een kritieke kwetsbaarheid (CVE-2026-60004) in de software zorgt ervoor dat een aanvaller via een specifiek endpoint willekeurige shell commando's als de Gitea OS user kan uitvoeren. Misbruik vereist dat een aanvaller schrijftoegang tot een repository heeft. Met een gewone open registratie kan een ongeauthenticeerde bezoeker, door een account te registreren, de vereiste schrijftoegang verkrijgen en een repository creëren. Via deze repository kan de aanvaller custom Git hooks naar de onderliggende repository directory schrijven. Wanneer deze hook scripts tijdens een Git-operatie worden uitgevoerd, kunnen ze willekeurige shell commando's uitvoeren.

Het probleem werd eind juli verholpen met de release van Gitea versie 1.27.1. Het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security meldde eerder deze week dat aanvallers actief misbruik van het beveiligingslek maken. The Shadowserver Foundation is een organisatie die onderzoek doet naar kwetsbare systemen op internet. Gisteren voerde het een scan uit naar kwetsbare Gitea-servers op internet. Dat leverde 8400 servers op die de update voor CVE-2026-60004 missen. De meeste kwetsbare servers werden in China, Duitsland en de Verenigde Staten aangetroffen. In Nederland gaat het om 206 kwetsbare Gitea-servers.