CVE-2026-60004 Gitea RCE 在野外被利用，CISA 发出警告

执行摘要

美国网络安全和基础设施安全局（CISA）已将CVE-2026-60004添加到其已知被利用漏洞目录中，确认了Gitea中一个关键的远程代码执行（RCE）漏洞正在被积极利用。Gitea是一个流行的自托管Git服务。这个漏洞的CVSS得分为9.8，允许任何具有仓库写入权限的认证用户在底层服务器上执行任意shell命令。鉴于Gitea在DevOps流程和内部代码托管中的广泛使用，这个漏洞对软件供应链和生产环境构成了直接威胁。防御者应将此视为紧急补丁优先事项。

技术分析

CVE-2026-60004是一个服务器端模板注入或命令注入漏洞，当具有对仓库普通写入权限的攻击者制作恶意文件或webhook时触发。该漏洞存在于Gitea处理某些Git钩子或仓库设置的方式中，这些设置在传递给shell之前未能对用户提供的输入进行清理。攻击者可以通过推送特别制作的提交或修改仓库配置来利用此漏洞，导致代码执行具有Gitea进程的权限。

CISA在2026年8月26日发布的咨询中指出，该漏洞正在野外被积极利用。该机构没有披露具体的攻击活动或入侵指标，但据报道，利用模式涉及在被入侵的服务器上投放类似矿机的有效载荷，据The Hacker News报道。这表明攻击者正在使用RCE劫持计算资源进行加密货币挖矿，这是一种常见的后期利用策略，也可以表明更广泛的网络入侵。

Gitea在CISA警告之前发布了补丁，但许多自托管实例仍未修补，特别是那些由小团队管理或在更新周期滞后的环境中的实例。该漏洞影响所有修补发布之前的Gitea版本；管理员应立即验证他们的版本并应用最新的更新。可用的源材料中没有指定确切的修补版本号，因此组织应咨询Gitea的官方发布说明，以了解解决CVE-2026-60004的特定版本。

入侵指标

CISA和The Hacker News没有发布针对此活动的具体IOC。然而，鉴于报告的矿机有效载荷，防御者应监控对矿池的异常出站网络连接、CPU使用量的激增以及以Gitea用户身份运行的意外进程。仓库操作的日志，特别是webhook执行或Git钩子触发，可能会揭示恶意活动。没有具体的哈希值或IP地址，网络级别的检测应专注于行为异常。

战术、技术与程序

CVE-2026-60004的利用与MITRE ATT&CK技术T1059.004（命令和脚本解释器：Unix Shell）一致，因为攻击者执行任意shell命令。初始访问向量是经过认证的仓库写入权限，这对于许多Gitea用户来说是一个合法的能力，使得攻击难以与正常活动区分。后期利用中，攻击者使用矿机有效载荷表明了对资源劫持的关注，但相同的访问权限也可以用于数据泄露或横向移动。

威胁行为者背景

没有特定的威胁行为者或团体被归因于CVE-2026-60004的积极利用。在早期利用阶段，缺乏归因是常见的，CISA的咨询也没有命名一个团体。防御者不应仅基于矿机有效载荷就假设行为者的技术含量低；相同的漏洞可能被更高级的对手用于其他目的。

缓解措施与建议

1. 立即修补：应用修复CVE-2026-60004的最新Gitea更新。检查Gitea的官方发布页面以获取修补版本。如果无法立即修补，限制对仓库的写入权限仅限于受信任的用户，因为利用需要写入权限。
2. 监控矿机活动：寻找加密货币挖矿的迹象，如异常的CPU使用量、新进程（例如，xmrig，kdevtmpfsi）以及连接到3333、4444或5555端口的矿池。使用端点检测和响应（EDR）工具来警告这些行为。
3. 审计Gitea日志：审查Gitea的审计日志，寻找与正常模式不符的可疑webhook执行或Git钩子调用。注意具有写入权限的用户所做的仓库配置更改。
4. 网络分割：将Gitea服务器与网络的其余部分隔离，以限制如果攻击者获得代码执行的爆炸半径。确保Gitea进程以最少的必要权限运行。
5. 审查CISA KEV目录：定期检查CISA的已知被利用漏洞目录中的新增加项，并相应地优先修补。CVE-2026-60004现在已列入该列表，使其成为联邦政府对民间机构的要求。