CISA đưa Gitea CVE-2026-60004 vào KEV: kiểm tra diffpatch và quyền ghi repository

CISA công bố ngày 25/08/2026 rằng CVE-2026-60004 đã được thêm vào KEV. Feed chính thức ghi tên “Gitea Code Injection Vulnerability”, ngày đến hạn 28/08/2026 và trạng thái dùng trong chiến dịch ransomware là “Unknown”. Thời điểm NetVali kiểm tra nguồn: 05:29 ngày 26/08/2026 (UTC+7).

Advisory GHSA-rcr6-4jqh-j84m của dự án Gitea được công bố ngày 28/07/2026, đánh dấu affected versions >=1.17, <1.27.1 và patched version 1.27.1. Gitea mô tả endpoint diffpatch có thể bị lợi dụng để cài và thực thi Git hook từ nội dung do repository kiểm soát.

Điểm mới ngày 25/08 không phải là CVE vừa xuất hiện, mà là CISA xác nhận bằng chứng khai thác thực tế đủ để đưa lỗi vào KEV. Đây là tín hiệu ưu tiên vận hành mạnh hơn CVSS đơn thuần.

Theo advisory Gitea, attacker cần khả năng ghi repository; với open registration mặc định, người chưa có tài khoản có thể tự đăng ký và tạo repository để có đường tiếp cận. Trigger kỹ thuật được advisory nêu gồm Git 2.32 trở lên, route diffpatch được bật và temporary filesystem có thể ghi/thực thi. Đây là điều kiện khoanh vùng, không phải lý do trì hoãn nâng cấp.

Gitea thường nằm gần source code, token CI/CD, webhook và artifact pipeline. Việc thực thi command dưới tài khoản dịch vụ Gitea có thể mở rộng tác động theo quyền thực của account, volume mount, secret và network egress. Phạm vi cần đánh giá bằng topology và quyền, không bằng tên CVE riêng lẻ.

Sau nâng cấp, regression test cần xác nhận login/SSO, clone/push, pull request, webhook, runner integration, backup và restore. Theo dõi error rate, latency và queue công việc; một bản vá cài thành công nhưng làm đứt pipeline vẫn chưa phải kết thúc thay đổi.

• Đội vận hành Gitea self-hosted và managed private instance.
• DevSecOps, platform engineering và chủ CI/CD pipeline.
• SOC/IR cần tìm dấu hiệu bất thường quanh repository, hook và service account.
• Đơn vị liên bang Hoa Kỳ chịu yêu cầu CISA; tổ chức khác có thể dùng KEV như tín hiệu ưu tiên dựa trên khai thác thực tế.

Việc một instance nằm trong dải phiên bản bị ảnh hưởng không chứng minh nó đã bị khai thác. Ngược lại, không thấy outbound connection cũng không loại trừ compromise; advisory nêu proof-of-concept có thể lấy output qua Git objects mà không cần kết nối ra ngoài.

CISA ghi ransomware use “Unknown”; không được viết thành đã gắn với ransomware. CVSS 9.8 là dữ kiện advisory, không thay thế đánh giá exposure, quyền và business impact của từng instance.

• [ ] Lập inventory instance, version, owner, Internet exposure và môi trường.
• [ ] Xác nhận affected range >=1.17, <1.27.1; kiểm tra cả image digest.
• [ ] Xác nhận open registration, quyền tạo/ghi repository và route diffpatch.
• [ ] Ghi Git version, temporary filesystem mount/options và service-account privilege.
• [ ] Hạn chế exposure và quyền trong khi chuẩn bị thay đổi theo hướng dẫn vendor.
• [ ] Nâng lên bản được hỗ trợ đã vá; advisory xác định 1.27.1 là patched version.
• [ ] Chạy smoke/regression cho clone, push, PR, webhook, runner và backup.
• [ ] Rà log, repository refs/objects, hook, process và thay đổi filesystem bất thường.
• [ ] Xoay secret/token khi điều tra cho thấy nguy cơ lộ hoặc sửa đổi.
• [ ] Ghi exception, owner và thời hạn nếu chưa thể nâng cấp.

Lưu version output, package/image digest, cấu hình registration/route, trước–sau upgrade, change ticket và kết quả regression. Với điều tra, bảo toàn log ứng dụng/reverse proxy, audit trail, process/file timeline và snapshot phù hợp chính sách.

Pass/fail nên gồm: không còn asset trong affected range; endpoint và quyền phù hợp chính sách; chức năng chính hoạt động; không có dấu hiệu chưa được giải thích; monitoring và rollback đã sẵn sàng. Không chạy proof-of-concept trên production.

• KEV: Danh mục lỗ hổng CISA xác định đã bị khai thác trong thực tế.
• Code injection: Dữ liệu không được trung hòa dẫn tới thay đổi hoặc thực thi code.
• Git hook: Chương trình được Git gọi tại một sự kiện nhất định.
• Service account: Tài khoản hệ điều hành chạy dịch vụ.
• Exposure: Khả năng attacker tiếp cận bề mặt liên quan.