Gitea CVE-2026-60004 entrou no KEV: acesso de escrita pode tornar-se execução no servidor

O sinal e os factos que mudam a decisão

A CISA adicionou CVE-2026-60004 ao catálogo KEV em 25 de agosto, com prazo de 28 de agosto. A descrição oficial indica que um atacante com acesso de escrita a um repositório pode enviar um patch malicioso ao endpoint diffpatch, plantar um Git hook executável e correr comandos shell como a conta de serviço do Gitea.

KEV significa exploração conhecida segundo a CISA; não prova que uma instância específica foi atacada e não substitui investigação local. A cadeia descrita exige mapear o endpoint diffpatch, permissões de escrita e capacidade de criar ou executar hooks no contexto real da instalação.

O prazo de 28 de agosto é uma prioridade operacional da diretiva CISA; organizações fora do âmbito federal devem usá-lo como sinal de urgência, não como afirmação de obrigação jurídica própria. O pré-requisito de escrita não torna o problema baixo: contribuidores, tokens de bots, contas comprometidas e importações automatizadas podem fornecer esse acesso, enquanto a execução herda rede, filesystem, chaves e integrações do servidor.

Decisão, limites e condição de bloqueio

Trate todas as instâncias Gitea como uma população urgente: resolva versão e exposição, identifique quem teve escrita, preserve telemetria antes de corrigir e rode credenciais alcançáveis pela conta do serviço nos sistemas expostos.

O pré-requisito de escrita não torna o problema baixo: contribuidores, tokens de bots, contas comprometidas e importações automatizadas podem fornecer esse acesso, enquanto a execução herda rede, filesystem, chaves e integrações do servidor.

Execução e prova de conclusão

A execução deve começar por descobrir servidores, containers e serviços geridos, fixando versão, url, owner, exposição e identidade de runtime. Depois, preservar logs gitea, proxy, git, processo, filesystem, identidade e rede antes de aplicar mitigação ou retirar o serviço. O fecho exige procurar hooks inesperados, processos filhos, alterações da conta de serviço e acessos a segredos; depois corrigir, testar e rodar credenciais expostas.

Cada instância fecha com versão ou mitigação comprovada, investigação do período exposto, estado dos hooks, credenciais rodadas quando necessário, teste funcional e risco residual aceite por um owner identificado.

• descobrir servidores, containers e serviços geridos, fixando versão, URL, owner, exposição e identidade de runtime.
• preservar logs Gitea, proxy, Git, processo, filesystem, identidade e rede antes de aplicar mitigação ou retirar o serviço.
• procurar hooks inesperados, processos filhos, alterações da conta de serviço e acessos a segredos; depois corrigir, testar e rodar credenciais expostas.
• Cada instância fecha com versão ou mitigação comprovada, investigação do período exposto, estado dos hooks, credenciais rodadas quando necessário, teste funcional e risco residual aceite por um owner identificado.