Lebih dari 8.300 Server Gitea Rentan terhadap Serangan Eksekusi Kode Jarak Jauh (RCE)
Lebih dari 8.300 instance server Gitea yang terekspos ke internet publik dilaporkan belum menerapkan pembaruan keamanan terhadap celah kritis yang tengah aktif dieksploitasi dalam serangan Remote Code Execution (RCE). Peringatan ini dirilis oleh lembaga pengawas keamanan siber internasional, The Shadowserver Foundation, setelah mendeteksi ribuan server yang masih terbuka terhadap serangan injeksi kode berbahaya.
Gitea merupakan platform code hosting dan manajemen DevOps mandiri (self-hosted) yang menjadi alternatif populer dari layanan seperti GitHub, GitLab, maupun Bitbucket, dengan catatan lebih dari 400.000 instalasi aktif di seluruh dunia.
Mekanisme Eksploitasi CVE-2026-60004
Celah keamanan berkode CVE-2026-60004 ini pertama kali dilaporkan oleh peneliti keamanan siber Salesforce, Shai Rod. Kerentanan ini berakar pada titik akhir (endpoint) API diffpatch milik Gitea.
Penyerang dapat memanfaatkan kelemahan tersebut untuk:
- Mengirimkan patch berbahaya melalui API
diffpatch. - Memasang dan mengeksekusi Git hook arbitrer dari konten repositori yang dikendalikan oleh penyerang.
- Menjalankan perintah shell dengan hak akses akun sistem operasi (OS user) milik layanan Gitea.
Kendati eksploitasi teknis membutuhkan hak akses tulis (write access) pada repositori, konfigurasi bawaan (default) Gitea mengaktifkan fitur registrasi mandiri (self-registration). Celah konfigurasi ini memungkinkan peretas luar mendaftarkan akun baru secara bebas, membuat repositori mandiri, lalu langsung memicu kerentanan tanpa memerlukan kredensial awal dari administrator server.
Temuan Shadowserver dan Instruksi CISA
Berdasarkan hasil pemindaian Shadowserver per 27 Agustus 2026, setidaknya ditemukan 8.393 alamat IP server Gitea rentan yang masih aktif di internet tanpa perlindungan.
Badan Keamanan Siber dan Infrastruktur AS (CISA) telah memasukkan CVE-2026-60004 ke dalam katalog kerentanan yang dieksploitasi secara aktif (Known Exploited Vulnerabilities Catalog). Melalui Binding Operational Directive (BOD) 26-04, CISA menginstruksikan seluruh badan eksekutif federal sipil AS (FCEB) untuk segera menambal server mereka.
Laporan di lapangan mengindikasikan bahwa para pelaku kejahatan siber telah memanfaatkan celah ini dalam serangan in-the-wild, terutama untuk menyusupkan dan menjalankan perangkat lunak berbahaya penambang mata uang kripto (cryptocurrency mining malware).
Rekomendasi Pembaruan
Tim pengembang Gitea telah merilis versi perbaikan Gitea 1.27.1 sejak 27 Juli untuk menambal kelemahan ini. Para administrator server dan tim DevOps sangat diimbau untuk segera melakukan pembaruan ke versi terbaru atau mematikan fitur registrasi publik (open registration) jika server belum memungkinkan untuk diperbarui secara langsung.
