A Shadowserver identificou mais de 8.300 instâncias Gitea expostas à internet e ainda vulneráveis à CVE-2026-60004, uma falha de injeção de código que permite a atacantes autenticados executarem comandos de shell arbitrários com os privilégios da conta de serviço Gitea, via patches maliciosos submetidos ao endpoint da API diffpatch.
O ponto crítico é que o Gitea vem com auto-registro habilitado por padrão: isso permite que atacantes sem credenciais prévias criem conta, criem um repositório e explorem a falha sem qualquer barreira de autenticação inicial.
A CISA incluiu a vulnerabilidade em seu catálogo de exploração ativa (KEV) e exigiu correção por agências federais dos EUA até 28 de agosto, em razão de exploração em campo já associada à implantação de malware de criptomineração.
O que aconteceu e quem foi afetado pelas falhas no Gitea
O vetor de ataque segue uma cadeia clara no MITRE ATT&CK:
- Acesso inicial via exploração de aplicação exposta publicamente (T1190) ou uso de contas válidas (T1078)
- Execução de comandos via shell Unix (T1059.004) e
- Sequestro de recursos computacionais para mineração de criptomoeda (T1496).
Organizações que operam Gitea auto-hospedado como plataforma de desenvolvimento, versionamento de código e CI/CD estão diretamente expostas, especialmente aquelas que mantêm instâncias acessíveis pela internet com configuração padrão de autorregistro.
Por que importa no Brasil e LATAM
No contexto brasileiro, onde infraestrutura baseada em Linux é predominante em ambientes de desenvolvimento, essa exploração representa um risco direto à disponibilidade e à integridade dos ambientes de código.
O impacto imediato reportado é sequestro de recursos computacionais, mas a mesma cadeia de acesso inicial e execução de comandos pode evoluir para exfiltração de código-fonte, comprometimento de segredos de CI/CD ou movimentação lateral para outros ativos conectados ao ambiente de desenvolvimento.
Repositórios de código concentram propriedade intelectual, credenciais de integração e pipelines de build — um comprometimento nesse ponto pode se transformar rapidamente em risco de cadeia de software, afetando não apenas a organização, mas também clientes e parceiros que dependem de seus artefatos.
O que fazer agora
- Identifique todas as instâncias Gitea no inventário de ativos, com atenção especial às que estão expostas à internet e mantêm auto-registro habilitado.
- Priorize a correção da CVE-2026-60004 nas instâncias expostas, tratando o prazo de 28 de agosto estabelecido pela CISA como referência de urgência, mesmo para organizações fora do escopo federal americano.
- Verifique a aplicação efetiva do patch por meio de varredura automatizada ou validação manual em cada instância corrigida.
- Desative o autorregistro quando não for estritamente necessário, reduzindo a superfície de acesso não autenticado.
- Implemente verificação recorrente de vulnerabilidades para instâncias Gitea, incorporando-as ao ciclo contínuo de gestão de exposição, e não apenas a uma resposta pontual ao alerta.
- Monitore indicadores de comprometimento, como processos filhos inesperados, consumo anômalo de CPU/GPU (indicativo de mineração) e criações de repositórios ou contas fora do padrão de uso.
Fonte : Runk Feed via BleepingComputer — Over 8,300 Gitea servers vulnerable to code execution attacks[datarunk.runkintel]
