Fremde Befehle auf 8393 Gitea Servern möglich
Die Shadowserver Foundation sucht im öffentlichen Netz nach Gitea-Servern, in die sich noch fremde Befehle einschleusen lassen. Die Stiftung zählt 8393 ungepatchte Hosts, obwohl Gitea den Fix schon im Juli ausgeliefert hat. Deutschland nennt sie neben China und den USA unter den Spitzenreitern, ohne eine deutsche Zahl zu veröffentlichen.
Das Wichtigste in Kürze
- Shadowserver zählt 8393 aus dem Internet erreichbare Gitea-Hosts ohne den Juli-Fix. Interne Instanzen fehlen in dieser Zählung, eine deutsche Zahl nennt die Stiftung nicht.
- CISA führt die Lücke seit dem 25. August als aktiv ausgenutzt. US-Behörden mussten bis zum 28. August patchen, deutsche Betreiber haben keine vergleichbare Frist.
- Ein Angreifer mit Schreibrecht kann über einen präparierten Patch Code mit den Rechten des Dienstkontos ausführen. Der Fix in Gitea 1.27.1 liegt seit dem 27. Juli vor.
Verwandt: LoadMaster in der KEV-Liste: Patch liegt seit Juni bereit · CISA listet Ray: Browser starten Cluster-Jobs ohne Login
Shadowserver markiert erreichbare Hosts
Shadowserver zählt Instanzen, die aus dem Internet erreichbar sind und den Juli-Fix nicht eingespielt haben. Am 27. August hat die Stiftung 8393 erreichbare Gitea-Instanzen mit der Kennung CVE-2026-60004 als verwundbar markiert.
BleepingComputer hat den Scan am 28. August aufgegriffen und von laufenden Angriffen mit Code-Ausführung aus der Ferne berichtet. Der öffentliche Hinweis nennt Länder und verwundbare Hosts ohne Namen einzelner Firmen, Hochschulen oder Behörden.
Die Stiftung teilt gefundene IPs über den Vulnerable HTTP Report mit den Betreibern der betroffenen Netze. Eine Zahl für Deutschland veröffentlicht sie nicht, obwohl Deutschland unter den führenden Ländern steht.
Definition · Gitea
Was ist Gitea? Eine selbst gehostete Git-Plattform für Repos, Reviews und CI. Die Werkseinstellung lässt Registration offen.
Gitea läuft auf eigenen Servern
Entwicklerteams, Mittelständler und Hochschulen betreiben Gitea als Alternative zu GitHub auf eigenen Servern.
In den Repositories liegt der Quellcode der jeweiligen Firma, Hochschule oder Behörde. Reviews (Codeprüfungen) und die Build-Pipeline für Bau und Test laufen auf derselben Instanz. Gitea läuft unter einem Systemkonto auf demselben Rechner wie andere Dienste.
Die Werkseinstellung von Gitea lässt die Registration offen, sodass ein Besucher ohne Einladung ein Konto anlegt. Genau solche Instanzen stehen oft mit dieser Voreinstellung offen erreichbar im Netz.
Der präparierte Patch wird zum Hook
Laut Gitea-Advisory GHSA-rcr6-4jqh-j84m hat der Sicherheitsforscher Shai Rod eine Code-Injection gemeldet, also das Einschleusen fremder Befehle. Er verortet die Schwäche in der Diffpatch-API, der Schnittstelle für Dateiunterschiede.
Ein Besucher mit offener Registration legt ein Konto an und erzeugt ein eigenes Repository. Damit besitzt er das nötige Schreibrecht, ohne von einem Team eingeladen worden zu sein.
Ein Nutzer mit Schreibrecht auf ein Repository schickt dort einen präparierten Patch an Gitea. Gitea legt daraus einen Git-Hook an, ein kleines Skript, das bei jedem Einspielen von Code automatisch läuft.
Gitea führt diesen angelegten Hook mit allen Rechten des Dienstkontos aus. Das Dienstkonto sieht Schlüssel, Zugangsdaten der Build-Pipeline und Nachbarprozesse auf demselben Host.
Ablauf und betroffene Stände vor dem Juli-Fix stehen im Gitea-Advisory GHSA-rcr6-4jqh-j84m.
Shadowserver zählt nur Hosts, die aus dem Internet erreichbar sind. Das Advisory knüpft die Code-Injection an Schreibrecht auf ein Repository. Eine interne Instanz mit Schreibrecht kann denselben Patch-Weg bieten und in dieser Zählung fehlen.
CISA listet aktive Ausnutzung
Am 25. August hat die US-Behörde CISA die Schwäche in die KEV-Liste aufgenommen, ihren Katalog bekannter ausgenutzter Schwachstellen. Der Eintrag gilt als Beleg, dass jemand die Schwäche bereits im Feld nutzt.
Die Binding Operational Directive BOD 26-04 bindet als Betriebsanweisung der CISA zivile US-Stellen an den Katalog. Deutsche Betreiber und deutsche Behörden unterliegen dieser Binding Operational Directive nicht.
CISA veröffentlicht zu diesem Eintrag keine Angriffsdaten zu Taktik oder Tätern.
Ein Hoster schlägt Alarm
Ein Betreiber berichtete auf der Entwicklerplattform Habr von einem Alarm seines Hosters wegen hoher Last im Gitea-Container. Im Container lag ein Programm, das auf den Betreiber wie ein Kryptowährungs-Miner wirkte. Jemand hatte den Server nach Darstellung des Betreibers zum Schürfen von Kryptowährung missbraucht. Weder Pool noch Wallet noch eine Malware-Familie nannte er; die Zuordnung zur Gitea-Lücke ist seine eigene.
| Komponente | Stand 27. Juli 2026 | Stand Ende August 2026 |
|---|---|---|
| Gitea | 1.17 bis 1.27.0 betroffen | Fix 1.27.1 |
| CISA KEV | nicht gelistet | 25.08., Frist 28.08., forensische Sichtung ja |
| Shadowserver | 8393 IPs am 27.08. |
Quelle: Shadowserver Foundation, 28. August 2026; CISA KEV-Katalog; Gitea-Release 1.27.1 vom 27. Juli 2026
CISA setzt US-Stellen eine Frist, Deutschland nicht
Angreifer hinterlassen ein Konto, das niemand im Team angelegt hat. Oft liegt nur ein Commit vor, also eine gespeicherte Änderung. Dazu kommen ein projektfremder Git-Hook und ungewöhnliche Prozessorlast.
Das Dienstkonto kann Tokens, Deploy-Keys (Ausrollschlüssel) und Geheimnisse der Build-Pipeline bereits gelesen haben; solche Zugangsdaten bleiben für Dritte nutzbar, bis der Betreiber die Schlüssel austauscht.
Die CISA verlangt von US-Behörden eine forensische Sichtung, also die Sicherung von Spuren, bevor ein Ticket geschlossen wird. Deutsche Betreiber haben für diese Schwäche keine vergleichbare Vorgabe der CISA.
Gitea hat den Fix am 27. Juli ausgeliefert und den Fehler in der Diffpatch-Schnittstelle behoben. Hosts, die im Scan vom 27. August noch auftauchen, haben diesen Stand nicht eingespielt. Zwischen der Auslieferung durch Gitea und dem Scan der Stiftung lag ein knapper Monat.
Die Betreiber der noch offenen Instanzen entscheiden als Nächstes über Patch und Spurensicherung; ob Shadowserver eine deutsche Zahl nachreicht, ist offen.
Häufige Fragen
Gehört der Vorfall auf Habr zur Code-Injection CVE-2026-60004?
Der Betreiber nannte weder den Pool noch das Wallet noch eine Malware-Familie. In seinem Bericht ordnet er den Vorfall der Code-Injection CVE-2026-60004 zu.
Können bestehende Konten den präparierten Patch nach geschlossener Registration weiter schicken?
Ja. Eine geschlossene Registration stoppt nur neue Konten; bestehende Konten mit Schreibrecht können denselben präparierten Patch weiter schicken.
Enthält der öffentliche Hinweis eine Zahl kompromittierter Server?
Der öffentliche Hinweis nennt Länder und verwundbare Hosts und enthält keine Kompromittierungszahl. Shadowserver warnt Betreiber und zählt erreichbare Hosts ohne Kompromittierte in diesem Scan.
Lesetipps der Redaktion
LesetippExploitGym: OpenAI-Agenten bauten sich einen GeheimkanalLesetippCRA-Meldepflicht startet: Frühwarnung binnen 24 StundenLesetippZimbra: Eine Mail reicht bei SNMP
Mehr aus dem MBF Media Netzwerk
Digital ChiefsWarum KI an den Stammdaten scheitertMyBusinessFutureGeschäftsklima im Mittelstand hellt sich aufcloudmagazinS/4-Einkauf: Go-live hängt am Clean Core
Bildquelle: KI-generiert (August 2026)
