CVE-2026-60004: Gitea RCE via diffpatch API

Il CVE-2026-60004 è una vulnerabilità di esecuzione di codice remoto (RCE) che colpisce Gitea versioni precedenti alla 1.27.1. La falla risiede nell'API diffpatch ed è sfruttabile tramite l'installazione di Git hook, permettendo a un attaccante remoto di eseguire codice arbitrario sui server Gitea colpiti. L'impatto è diretto su amministratori di sistemi Gitea, repository manager e infrastrutture DevOps che utilizzano questa soluzione di versionamento.

La vulnerabilità ha un punteggio CVSS di 9,8, classificata come critica dalla National Vulnerability Database. Il CVE è stato pubblicato il 26 agosto 2026. Un segnale GitHub datato 1 novembre 2026 (odierno) indica la presenza di repository pubblici che dichiarano di contenere materiale exploit relativo a questa falla, confermando uno stato di esposizione pubblico. Non sono stati riportati segnali di sfruttamento attivo, ma il rischio è elevato data la disponibilità di exploit.

Gli amministratori Gitea devono aggiornare immediatamente alla versione 1.27.1 o successive. Verificare subito l'inventario dei sistemi Gitea in uso e le versioni installate. Nel caso di ritardo negli aggiornamenti, monitorare l'accesso all'API diffpatch e implementare restrizioni di rete per limitare l'esposizione della interfaccia ai soli client autorizzati. Controllare i log per eventuali accessi sospetti all'API diffpatch e alla gestione dei Git hook.