Kritik Gitea RCE Aktif Olarak İstismar Ediliyor, Saldırı Miner Benzeri Yük Bırakıyor
Ravie Lakshmanan – 26 Ağustos 2026 – Zafiyet / Kripto Madenciliği
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA Salı günü, yakın zamanda yama yapılan Gitea'yı etkileyen kritik güvenlik açığını hedef alan aktif istismar çabaları konusunda uyardı.
Söz konusu zafiyet CVE-2026-60004 (CVSS puanı: 9.8) bir uzaktan kod çalıştırma vakası. Depoya sıradan yazma erişimi olan bir saldırganın Gitea işletim sistemi kullanıcısı olarak keyfi kabuk komutları çalıştırmasına izin veriyor.
"Gitea'nın diffpatch uç noktası, depodan kontrol edilen içerikten bir Git hook yüklemek ve çalıştırmak için kötüye kullanılabilir," diye açıkladı Gitea tarafından geçen ay yayımlanan danışma. "Varsayılan açık kayıt ile kimliği doğrulanmamış bir ziyaretçi, hesap kaydedip bir depo oluşturarak gerekli yazma erişimini elde edebilir."
Güvenlik araştırmacısı Shai rod, aka NightRang3r, sorunun keşfi ve bildirilmesiyle kredilendirildi. Sorun, Gitea'nın 1.17 sürümünden itibaren tüm sürümlerini etkiliyor ve 1.27.1 sürümünde yama yapıldı.
The Hacker News daha önce bildirdiği üzere, savunmasız API çağrısı kimlik doğrulama ve depo yazma izni gerektiriyor. Gitea'nın varsayılan olarak kayda izin vermesi, dış bir aktörün hesap ve depo oluşturup önceden var olan kimlik bilgilerine dayanmadan istismarı tetiklemesini mümkün kılıyor.
"Gitea, depo yazma erişimine sahip bir saldırganın diffpatch API uç noktasına kötü amaçlı bir yama göndererek çalıştırılabilir bir Git hook yerleştirmesine ve Gitea hizmet hesabı olarak kabuk komutları çalıştırmasına izin veren bir kod enjeksiyon zafiyeti içeriyor," dedi CISA.
Flaw'ı Bilinen İstismar Edilen Zafiyetler kataloguna ekleyen kurum, güvenlik açığının vahşi doğada nasıl istismar edildiğine veya çabaların arkasında kimlerin olduğuna dair ayrıntı vermedi.
Bununla birlikte, tam yığın geliştirici Andrey, aka @Causelof, geçen hafta Rus blog platformu Habr'da yayımlanan analizinde, Gitea örneğinin bilinmeyen bir tehdit aktörü tarafından CVE-2026-60004 kullanılarak kripto para madencisi benzeri bir bırakıcı dağıtmak için hedeflendiğini belirtti.
Olay, barındırma sağlayıcısı HOSTKEY'den gelen bir e-posta bildirimiyle ortaya çıktı. Sanal sunucunun uzun bir süre boyunca işlemci kapasitesinin yüzde 70'inden fazlasını kullandığı ve hizmet şartlarını ihlal ettiği, sağlayıcının VPS için geçici olarak kullanılabilir CPU kaynaklarını sınırlamasına neden olduğu belirtildi.
Özellikle kullanıcı, aktiviteyi tetikleyen olarak aşağıdaki yapılandırmayı gösterdi:
DISABLE_REGISTRATION = false (Parametre etkinse, yalnızca bir yönetici kullanıcılar için hesap oluşturabilir)
REGISTER_EMAIL_CONFIRM = false (Parametre etkinse, kayıt e-posta ile onay ister)
ENABLE_OPENID_SIGNUP = true (Parametre OpenID üzerinden kayıt yapmayı sağlar)
REQUIRE_SIGNIN_VIEW = false (Parametre etkinse, herhangi bir sayfayı görüntülemek veya API'yi kullanmak için kullanıcıların giriş yapmasını zorunlu kılar)
"Açık kaydın burada etkin olması, zafiyetle bağlantısı nedeniyle özellikle önemlidir," diye kaydetti Andrey. "Yeni bir kullanıcı kayıt olabilir, kendi deposunu oluşturabilir ve içinde gerekli yazma izinlerini elde edebilir. Gitea'nın SSH'si dış dünyaya açık değildi. Saldırı vektörü HTTPS üzerinden gerçekleşti."
Miner benzeri yükü dağıtılmadan önce bırakıcı betiğin şu adımları gerçekleştirdiği söyleniyor:
LD_PRELOAD ve LD_LIBRARY_PATH'i temizle
Yüksek CPU kullanımı olan işlemleri ara
Rekabet eden işlemleri öldürmeye çalış
Sistem mimarisine göre yükü al
İndir, diske bir konuma yaz ve çalıştır
Çalıştırdıktan sonra dosyayı sil
Sonraki aşama yükünün kesin doğası bilinmiyor. Geliştirici, içeriğinin analizini yapmadığını söyledi ve "Madencilik havuzu, cüzdan, madenci ailesi veya belirli operatör hakkında onaylanmış bilgim yok." diye ekledi. Bununla birlikte CPU kullanımındaki artış, savunmasız Gitea örneklerini hedef alan bir kripto korsanlığı kampanyasıyla uyumlu.
CISA'nın zafiyeti KEV kataloğuna eklemesinin bu özel saldırının sonucu olup olmadığı, yoksa ABD'deki yamalanmamış Gitea sunucularını hedef alan istismar kanıtı ortaya çıkarıp çıkarmadığı belirsiz. Federal kurumların zafiyeti 28 Ağustos 2026 tarihine kadar yamalaması gerekiyor ve güncellemeler risk temelli bir yaklaşımla önceliklendirilecek.
