Peretas Aktif Eksploitasi Celah Kritis Gitea untuk Serangan Injeksi Kode dan Malware Mining
Aktor ancaman siber dilaporkan tengah mengeksploitasi celah keamanan kritis pada platform Git self-hosted Gitea secara aktif di alam liar. Peringatan ini dikonfirmasi secara resmi oleh Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA), menyusul ditemukannya serangan yang menyusupkan skrip berbahaya hingga memasang perangkat lunak penambang mata uang kripto (cryptocurrency mining malware) pada server yang rentan.
Gitea sendiri merupakan platform pengembangan perangkat lunak dan DevOps open-source populer yang banyak digunakan organisasi sebagai alternatif mandiri (self-hosted) untuk GitHub maupun GitLab.
Mekanisme Eksploitasi CVE-2026-60004
Kerentanan yang dilacak sebagai CVE-2026-60004 ini pertama kali dilaporkan oleh peneliti keamanan Salesforce, Shai Rod. Celah keamanan bertipe code injection ini memungkinkan pengguna yang memiliki hak akses tulis (write access) pada repositori untuk mengeksekusi perintah shell arbitrer dengan hak istimewa akun layanan OS Gitea:
- Penyalahgunaan Endpoint diffpatch: Penyerang mengeksploitasi endpoint API
diffpatchdengan mengirimkan patch berbahaya yang memasang dan mengeksekusi Git hook dari konten repositori. - Registrasi Publik Bawaan: Pada konfigurasi default Gitea, fitur pendaftaran mandiri (self-registration) aktif secara terbuka. Hal ini memungkinkan penyerang tanpa kredensial awal mendaftar akun baru secara bebas, membuat repositori sendiri, dan langsung mengeksekusi exploit tanpa hambatan.
Pembaruan Patch dan Instruksi Darurat CISA
Pengembang Gitea sebenarnya telah merilis pembaruan keamanan melalui Gitea versi 1.27.1 pada 27 Juli lalu untuk menutup celah ini, serta mengimbau para pengelola server untuk segera melakukan peningkatan versi (upgrade).
Berdasarkan data pemantauan dari organisasi keamanan siber Shadowserver, terdapat hampir 5.000 instans Gitea yang terekspos langsung ke internet publik dan berpotensi menjadi target empuk peretasan jika belum diperbarui.
Merespons maraknya serangan aktif, CISA resmi memasukkan CVE-2026-60004 ke dalam katalog Known Exploited Vulnerabilities (KEV) dan mengeluarkan arahan Binding Operational Directive (BOD) 26-04 yang mewajibkan seluruh badan sipil federal AS untuk menambal sistem mereka paling lambat tanggal 28 Agustus.
Insiden ini menyusul tren eksploitasi infrastruktur Gitea sebelumnya pada bulan Juli, di mana peretas menyalahgunakan celah authentication bypass (CVE-2026-20896) pada server yang mengaktifkan header autentikasi reverse proxy seperti X-WEBAUTH-USER. Para administrator sistem disarankan untuk segera memperbarui instans Gitea ke versi terbaru atau membatasi akses registrasi publik jika pembaruan belum dapat diterapkan seketika.
Sumber: Pemberitahuan Resmi CISA KEV Catalog
