CyberSecurityAction

脆弱性情報

GiteaのdiffpatchAPIにコードインジェクション（CVE-2026-60004）—CISA KEV追加・暗号通貨マイナー展開を確認

自己ホスト型Git基盤Gitea のdiffpatch APIエンドポイントに致命的なコードインジェクション脆弱性（CVE-2026-60004）。デフォルト設定では事実上認証なしに悪用可能で、CISAがKEVに追加。FCEB機関への3日以内のパッチ義務が課された。

喜村 圭佑（編集責任者）更新 約5分

SHARE

XB!in
GiteaのdiffpatchAPIにコードインジェクション（CVE-2026-60004）—CISA KEV追加・暗号通貨マイナー展開を確認

THREAT GAUGE算出基準

IMPACT（影響範囲）8.0
URGENCY（対応緊急度）9.5
EXPLOIT（悪用の容易さ）9.5

“CISA KEV登録・悪用確認済み・デフォルト設定で認証不要に近い”

01 · Overview

ニュースの概要

自己ホスト型Git開発プラットフォームのGiteaに、コードインジェクションの致命的な脆弱性（CVE-2026-60004）が発見され、すでに野放し状態（in-the-wild）での悪用が確認されている。CISA（米サイバーセキュリティ・インフラセキュリティ庁）は2026年8月25日にこの脆弱性をKEVカタログに追加し、連邦民間行政機関（FCEB）に対して3日以内（8月28日まで）のパッチ適用を義務付けた。攻撃者はすでに暗号通貨マイニングマルウェアを標的サーバーに展開していることが確認されており、Giteaインスタンスを運用するすべての組織が即時対応を求められる。

CVE-2026-60004はGiteaのdiffpatch APIエンドポイントにおけるコードインジェクションの脆弱性で、Salesforceのセキュリティ研究者Shai Rod氏によって発見・報告された。Gitea 1.27.1（2026年7月27日リリース）で修正が提供されているが、パッチ未適用のサーバーは現在も攻撃にさらされている状態にある。

Shadowserverの調査によれば、約5,000台のGiteaインスタンスがインターネット上に公開されているとされる。Giteaはデフォルトで新規ユーザー自己登録が有効になっているため、認証なしの第三者でもアカウントを作成してリポジトリを作り、悪意あるパッチを投稿することで脆弱性を悪用できる構造となっている。

CISAはBOD（拘束力のある運用指令）26-04に基づき、FCEB機関に3日以内のパッチ義務を課した。民間組織への法的義務はないが、CISAは「このタイプの脆弱性は悪意あるサイバーアクターの攻撃ベクターとして多用されており、連邦エンタープライズに重大なリスクをもたらす」と警告し、すべての組織にKEVカタログの優先的な修正を推奨している。

CVE番号
CVE-2026-60004
深刻度
Critical（CISA KEV登録・悪用確認済み）
影響製品
Gitea 1.27.1未満の全バージョン
修正バージョン
Gitea 1.27.1（2026-07-27）
悪用状況
暗号通貨マイナー展開を確認（CISA KEV）
FCEB機関期限
2026年8月28日（3日以内）

BleepingComputer（2026-08-26）・Gitea公式アドバイザリGHSA-rcr6-4jqh-j84m・CISAアラートに基づく。CVSSスコアはGiteaが非公表のためCISA分類（Critical）を使用。

02 · Analysis

詳細な原因解説

本脆弱性の発生箇所はGiteaのdiffpatch APIエンドポイントである。このエンドポイントはユーザーが提出したパッチファイル（差分データ）を処理するために設けられており、リポジトリへの書き込み権限を持つユーザーがdiffpatch経由でパッチを投稿できる。問題は、このパッチ処理の実装においてユーザーが制御できる内容（リポジトリ内のデータ）からGitフック（Git hook）スクリプトを生成・インストールできてしまう点にある。Gitフックはリポジトリの特定の操作（コミット・プッシュ等）をトリガーとして自動的に実行されるシェルスクリプトであり、Giteaサービスアカウントの権限で任意のOSコマンドを実行する。

攻撃の前提条件として「リポジトリへの書き込み権限（ordinary write access）」が必要だが、Giteaはデフォルト設定で新規ユーザーの自己登録が有効になっている。このため、認証情報を持たない外部の攻撃者であっても、アカウント登録→新規リポジトリ作成→悪意あるパッチ投稿という3ステップで脆弱性を悪用できる。つまり、セキュリティの観点では実質的に「認証不要（Unauthenticated）」に相当する深刻度となる。

悪用時の影響は、Giteaサービスが動作するOSユーザー権限でのシェルコマンド実行に留まらず、当該サーバーに保管されている全リポジトリのコードや機密データ（APIキー・認証情報等）への不正アクセス、外部攻撃インフラへの通信起点としての利用も含まれる。確認されている攻撃では暗号通貨マイニングマルウェアが展開されているが、標的によってはソースコードの窃取やサプライチェーン攻撃への転用も想定される。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

自己登録悪用から暗号通貨マイナー展開まで

Q. 攻撃者はGiteaの自己登録機能をどう活用してRCEを達成するか？

攻撃者はまずShodan等でインターネット公開中のGiteaインスタンスを発見する（偵察）。次に自己登録機能でアカウントを作成し（武器化）、新規リポジトリを作成した上でdiffpatch API経由で悪意あるパッチを投稿する（配信）。パッチ処理時にGitフックが自動インストールされ、次回Git操作のトリガーで任意コマンドが実行される（攻撃実行）。確認された攻撃ではcurl/wgetで暗号通貨マイナーをダウンロードして実行するシェルスクリプトが展開された（目標達成）。このチェーン全体が自動化ツールで大規模実行できることが深刻さを増幅させる。

GitフックをRCEに転用する攻撃の構造

Q. Gitフックという正規機能がなぜコードインジェクション攻撃に転用できるのか？

GitフックはCI/CDの自動化やコード品質チェックのために設計された正規機能であり、リポジトリ操作時にサーバー側でスクリプトを自動実行するよう意図されている。本脆弱性はdiffpatch APIの実装がユーザー制御のコンテンツからGitフックスクリプトを生成できてしまうことで、この「正規の自動実行機能」が攻撃者のコード実行基盤として転用（Substitute/Modify）される。正規機能の悪用は検知が難しく、セキュリティツールがGitフックの実行自体を疑わないため、感染後の持続性確保にも利用されるリスクがある。

Gitea運用組織が取るべき段階的な防御

最優先の対応はGitea 1.27.1以降へのアップグレードであり、これだけで攻撃を完全に防ぐことができる。アップグレードまでの間は自己登録の無効化とIPアクセス制限の組み合わせで攻撃の入口を閉じることを優先すべきである。

中期的には、Giteaのような内部開発インフラは原則としてVPN内のみに公開し、インターネットから直接到達できる状態を避けることが根本的なリスク低減策となる。また、Giteaサービスアカウントの権限を最小化し、OS上の重要ファイルやネットワーク通信に制限をかけることで、万一の侵害時の被害範囲を縮小できる。

06 · AI Prompt

AI対策プロンプト

あなたは[組織名]（業種：[業種]）のDevOps担当者である。社内でGitea [バージョン]を運用しており、今回CVE-2026-60004の脆弱性が悪用確認済みとしてCISA KEVに追加された。以下を判断・実施せよ：①現在のGiteaバージョンと影響有無の確認方法、②アップグレード前の緊急緩和策（自己登録無効化・IP制限等）の実施手順、③アップグレード後にGitフックの不正設置がなかったかを確認するフォレンジック手順。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自組織の正式名称

自組織の業種

現在運用中のGiteaバージョン

キーワード

  • Gitea
  • CVE-2026-60004
  • コードインジェクション
  • CISA KEV
  • Gitフック

SOURCES · 参考情報源