CISA menambahkan kerentanan Gitea ke katalog KEV dengan tenggat patch hanya 3 hari - bukti bahwa serangan sudah terjadi di lapangan
Pada 25 Agustus 2026, CISA (Cybersecurity and Infrastructure Security Agency) secara resmi menambahkan CVE-2026-60004 ke Known Exploited Vulnerabilities (KEV) Catalog. Kerentanan ini memungkinkan eksekusi kode jarak jauh (remote code execution) pada platform Gitea, dan bukti menunjukkan sudah dimanfaatkan oleh penyerang di lingkungan nyata. Tenggat patch untuk instansi pemerintah AS adalah 28 Agustus 2026 - hanya tiga hari sejak pengumuman.
Apa yang sebenarnya terjadi
Gitea adalah platform Git open-source yang banyak digunakan untuk self-hosted repository. Kerentanan CVE-2026-60004 (CVSS 9.8, Critical) ada di endpoint diffpatch API. Penyerang yang memiliki akses tulis ke repository dapat mengirim patch berbahaya yang memasang Git hook eksekusi, lalu menjalankan perintah shell sebagai akun layanan Gitea.
Bahayanya meningkat drastis jika Gitea dikonfigurasi dengan open registration tanpa verifikasi email atau CAPTCHA. Dalam kondisi ini, penyerang yang sama sekali tidak terautentikasi bisa mendaftar akun, membuat repository, dan menjalankan rantai eksploitasi secara otomatis - tanpa perlu kredensial yang sudah ada sebelumnya.
Bukti eksploitasi di lapangan
Laporan insiden yang dipublikasikan oleh seorang developer di Habr menggambarkan serangan nyata yang terjadi pada instance Gitea self-hosted:
Penyerang otomatis mendaftar akun melalui open registration
Membuat repository dan memicu rantai eksploitasi CVE-2026-60004
Bagian aktif serangan berlangsung sekitar 11 detik
Payload pertama menulis bukti RCE ke branch Git
Payload kedua mengunduh shell-loader universal
Payload ketiga menjalankan crypto-miner yang memperebutkan penggunaan CPU
Instance tersebut berjalan di dalam container Docker tanpa privilege, sehingga miner tidak bertahan setelah restart. Tidak ditemukan jejak persistence melalui cron, systemd, atau SSH key baru. Namun serangan ini membuktikan bahwa automated scanner sudah aktif memanfaatkan kerentanan ini di internet.
Detail teknis singkat
ParameterDetailCVECVE-2026-60004CWECWE-94 (Improper Control of Generation of Code)CVSS v3.19.8 CriticalProdukGitea sebelum versi 1.27.1Vektordiffpatch API → Git hook installation → RCESyaratAkses tulis repository (open registration = unauthenticated possible)DampakEksekusi perintah shell sebagai akun layanan GiteaVersion terbaruGitea 1.27.2 (rekomendasi)CISA KEVDitambahkan 25 Agustus 2026, tenggat 28 Agustus 2026AdvisoryGHSA-rcr6-4jqh-j84m
Iterasi keamanan: pelajaran dari dua CVE Gitea berturut-turut
Ini adalah CVE Gitea kedua dalam beberapa bulan terakhir yang dieksploitasi. Sebelumnya, CVE-2026-20896 juga memungkinkan RCE namun belum masuk KEV. Pola ini menunjukkan bahwa platform self-hosted Git menjadi target prioritas penyerang, dan organisasi perlu membangun siklus keamanan yang iteratif, bukan reaktif satu kali.
Pelajaran dari deteksi: Serangan crypto-mining terdeteksi karena monitoring CPU yang tinggi - bukan karena sistem deteksi intrusi. Organisasi perlu baseline performa server dan alerting yang lebih proaktif.
Pelajaran dari konfigurasi: Open registration tanpa CAPTCHA adalah vektor masuk yang bisa dihilangkan tanpa patch. Langkah konfigurasi ini seharusnya menjadi standar bahkan sebelum ada CVE.
Pelajaran dari isolasi: Container tanpa privilege membatasi dampak, tetapi tidak mencegah eksploitasi. Pertahanan berlapis (layered defense) tetap diperlukan.
Pelajaran dari pembaruan: Instance yang diserang menjalankan versi yang sudah outdated. Proses patch management yang rutin adalah kontrol paling efektif untuk kerentanan yang sudah memiliki patch.
Checklist tindakan segera
#TindakanPrioritasKategori1Update Gitea ke versi 1.27.2 atau lebih baruP0 - SegeraPatch2Nonaktifkan open registration jika tidak diperlukanP0 - SegeraKonfigurasi3Aktifkan CAPTCHA dan verifikasi email pada registrationP1 - Hari iniKonfigurasi4Periksa log akses endpoint /api/v1/repos/{owner}/{repo}/diffpatchP1 - Hari iniDetection5Cek penggunaan CPU server yang tidak wajar (indikasi crypto-mining)P1 - Hari iniDetection6Rotasi semua secret, token, dan kredensial GiteaP2 - 7 hariKompromi7Review isolasi container Docker (pastikan non-privileged)P2 - 7 hariInfrastruktur8Batasi koneksi internet keluar dari container GiteaP2 - 7 hariNetwork9Audit branch dan commit baru yang mencurigakanP2 - 7 hariForensik10Implementasi proses patch management rutin untuk self-hosted toolsP3 - 30 hariGovernance
Decision table: apakah organisasi Anda terdampak?
KondisiRisikoTindakanSelf-hosted Gitea < 1.27.1Kritis - RCE aktif dieksploitasiPatch segera ke 1.27.2Open registration aktifTinggi - akses tidak terautentikasiNonaktifkan atau tambah CAPTCHAGitea di container privilegedTinggi - potensi escape ke hostUbah ke non-privilegedTidak ada monitoring CPUSedang - serangan miner tidak terdeteksiSetup alert penggunaan CPUMenggunakan SaaS Git (GitHub/GitLab.com)Rendah - tidak terdampak langsungMonitor advisory untuk fitur serupa
Skala eksposur: 8.300+ server Gitea rentan di internet
Data terbaru dari Shadowserver Foundation (28 Agustus 2026) menunjukkan lebih dari 8.300 instance Gitea yang terekspos ke internet masih belum dipatch terhadap kerentanan ini. Penyerang otomatis secara aktif memindai internet untuk menemukan target, dan ribuan server tersedia untuk dieksploitasi.
Jika organisasi Anda menjalankan Gitea self-hosted yang dapat diakses dari internet, kemungkinan besar sudah berada dalam radar penyerang. Verifikasi segera diperlukan.
Checklist verifikasi eksposur cepat
| # | Langkah | Cara |
|---|---|---|
| 1 | Cek versi Gitea | Login admin, lihat Gitea Version. Jika kurang dari 1.27.2, segera update |
| 2 | Cek eksposur publik | Gunakan search.censys.io atau Shadowserver scan |
| 3 | Verifikasi open registration | Pastikan ENABLE_CAPTCHA dan REQUIRE_SIGNIN_VIEW aktif di app.ini |
| 4 | Review log diffpatch | Cek access log untuk endpoint diffpatch API |
| 5 | Isolasi container | Pastikan container Gitea non-privileged tanpa akses internet outbound |
Sumber
CISA KEV Catalog - CVE-2026-60004 (ditambahkan 25 Agustus 2026) - tautan CISA
SecurityWeek - CISA Warns of Exploited Gitea Vulnerability (26 Agustus 2026) - tautan sumber
HelpNetSecurity - Critical Gitea vulnerability exploited in the wild (26 Agustus 2026) - tautan sumber
GitHub Advisory - GHSA-rcr6-4jqh-j84m - tautan advisory
myBATICloud menyediakan layanan assessmen keamanan untuk membantu organisasi mengidentifikasi dan memprioritaskan kerentanan pada infrastruktur self-hosted, termasuk platform Git dan DevOps. Jika Anda ingin evaluasi cepat terhadap posture keamanan infrastruktur Anda, bisa lihat layanan kami atau memulai chat.