Aktiv ausgenutzte Schwachstelle
CVE-2026-60004: Gitea
Die US-Behörde für Cybersicherheit (CISA) hat CVE-2026-60004 am 25.08.2026 in ihren Katalog aktiv ausgenutzter Schwachstellen (KEV) aufgenommen. Betroffen ist Gitea. Aufgenommen werden nur Lücken, für die es verlässliche Belege für Angriffe gibt – auch für versuchte.
Für US-Bundesbehörden setzt CISA als Frist den 28.08.2026 (Richtlinie BOD 26-04). Für Unternehmen in Deutschland gilt sie nicht unmittelbar; CISA empfiehlt aber allen Organisationen, Lücken aus dem Katalog vorrangig zu schließen.
Auf einen Blick
- Hersteller
- Gitea
- Produkt
- Gitea
- Im Katalog seit
- 25.08.2026
- Frist für US-Bundesbehörden
- 28.08.2026
- Bei Ransomware genutzt
- nicht bekannt
- Schwachstellentyp (CWE)
- CWE-94
Was Betriebe jetzt tun sollten
- Prüfen, ob das Produkt bei Ihnen im Einsatz ist – auch in Geräten, Cloud-Diensten oder bei Dienstleistern.
- Die Sicherheitsupdates oder Schutzmaßnahmen des Herstellers einspielen (siehe Herstellerhinweis unten).
- Gibt es noch kein Update: Systeme vom Internet trennen oder abschotten und, wenn möglich, das Produkt vorübergehend nicht nutzen.
- Bei Anzeichen eines Angriffs nicht nur patchen, sondern Systeme auf Spuren eines Einbruchs prüfen lassen.
Originalangaben der CISA
Englischer Originaltext aus dem KEV-Katalog:
Gitea Code Injection Vulnerability. Gitea contains a code injection vulnerability that allows an attacker with repository write access to send a malicious patch to the diffpatch API endpoint to plant an executable Git hook and run shell commands as the Gitea service account.
Required action: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Quellen
Sie wissen nicht, ob das Produkt bei Ihnen läuft, oder brauchen Hilfe beim Absichern? Wir prüfen Ihre Systeme und spielen Updates ein – auch kurzfristig.