Gitea : une faille critique est exploitée, mettez à jour sans attendre

Gitea vient de passer du registre des mises à jour souhaitables à celui des urgences. Le 25 août, la CISA a ajouté CVE-2026-60004 à son catalogue des vulnérabilités exploitées connues. Cette faille touche les installations Gitea antérieures à 1.27.1 et permet d’exécuter des commandes sur le serveur. Le correctif existe depuis fin juillet, mais les serveurs auto-hébergés ne se mettent pas toujours à jour par télépathie.

Un patch Git qui devient une porte d’entrée

Le problème se trouve dans l’API diffpatch. Un utilisateur disposant de droits d’écriture sur un dépôt peut y envoyer un patch spécialement construit pour installer un hook Git exécutable. Les commandes tournent alors avec les privilèges du compte système qui fait fonctionner Gitea. L’avis de sécurité officiel classe le problème comme une exécution de code à distance et précise que les versions concernées vont de 1.17 à avant 1.27.1.

Le scénario est particulièrement mauvais lorsque l’inscription publique est ouverte : un visiteur peut créer un compte, créer un dépôt et obtenir le droit d’écriture nécessaire. Sans inscription ouverte, il faut déjà compromettre ou convaincre un compte autorisé, ce qui réduit le risque sans le supprimer. Une fois la commande exécutée, les dépôts montés, les secrets d’application, les identifiants de base de données ou les variables d’environnement peuvent devenir accessibles selon l’isolation du serveur.

Pourquoi les homelabs sont concernés

Gitea est souvent installé sur un petit serveur, avec des runners, des sauvegardes et des fichiers de configuration regroupés au même endroit. Cette simplicité est agréable jusqu’au jour où le service devient le raccourci vers tout le reste. Un Gitea exposé sur Internet mérite donc la même attention qu’un panneau d’administration, même s’il ne sert qu’à héberger quelques dépôts personnels.

Les actions à faire maintenant

Vérifiez la version et mettez à jour vers une version corrigée, au minimum 1.27.1 ; la version 1.27.2 apporte aussi d’autres correctifs de sécurité. Si la mise à jour doit attendre, fermez temporairement l’accès public, désactivez l’inscription ouverte et limitez les comptes qui peuvent écrire. Ces mesures ne corrigent pas le code, elles retirent simplement des chemins d’attaque.

Après mise à jour, examinez les journaux de connexion, les dépôts créés récemment, les hooks inattendus et les processus lancés par l’utilisateur système de Gitea. En cas d’exposition avec inscription ouverte, traitez la machine comme potentiellement compromise : sauvegardez les éléments utiles pour l’analyse, faites tourner les secrets et vérifiez les hôtes voisins.

Les détails figurent dans l’avis de version Gitea 1.27.1, l’avis de sécurité du projet et le catalogue KEV de la CISA.

En bref :

Gitea n’est pas condamné, mais une instance oubliée sur un VPS (ou un NAS) vient de gagner une place peu enviable dans les listes de cibles. Le correctif est disponible : il reste simplement à convaincre l’administrateur que « je le ferai ce week-end » n’est pas une stratégie acceptable!

Le Bien Heureux · Redaction Capibara · Samedi 29 août 2026