CVE-2026-60004 : faille RCE CVSS 9.8 dans Gitea activement exploitée

Les faits

La CISA a émis une alerte urgente concernant CVE-2026-60004, une vulnérabilité d'exécution de code à distance (RCE) affectant Gitea, la plateforme de forge logicielle open-source auto-hébergée. Le score CVSS v3.1 de 9.8 — quasiment maximal — traduit la combinaison d'une exploitation sans authentification préalable élevée et d'un impact total sur la confidentialité, l'intégrité et la disponibilité du système cible.

Ce qui rend CVE-2026-60004 particulièrement dangereuse est son vecteur : tout utilisateur disposant d'un accès en écriture sur un dépôt Gitea peut déclencher l'exécution de commandes shell arbitraires sur le serveur. Dans de nombreuses configurations par défaut ou mal durcies, le compte de service Gitea dispose de privilèges insuffisamment restreints, permettant une escalade vers un accès système plus large.

La vulnérabilité est liée à la gestion des hooks Git, ces scripts exécutés automatiquement lors d'opérations sur les dépôts (push, receive, update). Un attaquant peut construire une requête spécialement forgée qui injecte des commandes dans le contexte d'exécution du hook. La faille réside dans le mécanisme de validation et de sanitisation des entrées transmises aux hooks serveur.

Les premières exploitations dans la nature ont été détectées par plusieurs équipes de threat intelligence avant même que CISA ne publie son alerte. Les attaquants ont rapidement développé des scanners automatisés capables d'identifier les instances Gitea exposées sur Internet, d'en vérifier la version vulnérable, puis d'exploiter la faille pour déposer des web shells ou des reverse shells permettant un accès persistant.

L'impact sur les pipelines CI/CD est critique. Gitea est massivement utilisé dans les environnements DevOps auto-hébergés, particulièrement dans les entreprises souhaitant garder leur code source en interne. Un serveur Gitea compromis représente un point d'entrée idéal dans la chaîne d'approvisionnement logicielle : l'attaquant peut modifier des dépôts de code, injecter du code malveillant dans des projets, accéder aux secrets stockés dans les configurations des pipelines (tokens API, clés SSH, credentials cloud), voire compromettre les artefacts de build distribués aux utilisateurs finaux.

Les scénarios d'attaque supply chain via Gitea sont particulièrement redoutés des équipes de sécurité. Contrairement à une compromission de poste de travail, une intrusion dans la forge logicielle touche potentiellement l'ensemble des projets hébergés et de leurs utilisateurs. Des incidents similaires sur d'autres forges ont démontré que le délai de détection peut atteindre plusieurs semaines, le temps que les modifications malveillantes soient propagées dans les builds de production.

La timeline de cette vulnérabilité illustre un phénomène bien documenté : le délai entre la découverte responsable, la publication du patch et l'exploitation massive s'est réduit à quelques jours. La vulnérabilité a été découverte et reportée de façon responsable par un chercheur en sécurité. Un correctif a été développé par les mainteneurs de Gitea et intégré dans une version patchée. Mais le délai entre la publication du patch et son adoption massive par les organisations auto-hébergeant Gitea est structurellement long : contrairement aux services cloud mis à jour de façon transparente, les instances auto-hébergées nécessitent une intervention manuelle des équipes IT.

Cette fenêtre — entre la disponibilité du patch et son déploiement effectif — est précisément la période pendant laquelle les attaquants concentrent leurs efforts. Les données historiques de CISA montrent que les vulnérabilités de score CVSS 9.0 et plus dans des outils de développement exposés sur Internet sont exploitées dans les 48 à 96 heures suivant la publication d'un PoC fonctionnel. CVE-2026-60004 ne fait pas exception.

Les attaquants ciblant des instances Gitea en production cherchent généralement plusieurs types de butin : les secrets d'environnement (.env, fichiers de configuration CI/CD), les tokens d'accès aux registres de conteneurs et aux cloud providers, les clés de signature de code, et le code source lui-même qui peut révéler des vulnérabilités dans les applications en production. Dans certains cas documentés sur des forges similaires, la compromission a conduit à l'injection de backdoors dans des packages open-source distribués à des milliers d'organisations.

Impact et exposition

Toute organisation hébergeant une instance Gitea accessible depuis Internet sans mesure de filtrage réseau stricte est potentiellement exposée. Les déploiements dans des DMZ, accessibles depuis des réseaux partenaires ou directement depuis Internet, constituent les cibles prioritaires. Les organisations dont le pipeline CI/CD intègre Gitea comme dépôt central — avec des runners de build ayant accès à des environnements de production — doivent traiter cet incident avec une priorité maximale.

Recommandations

• Mettre à jour Gitea immédiatement vers la dernière version stable intégrant le correctif pour CVE-2026-60004.
• Auditer les logs des hooks Git sur les 30 derniers jours pour détecter des exécutions anormales ou des erreurs inhabituelles.
• Restreindre l'accès réseau à l'interface web et à l'API Gitea : seuls les réseaux internes et VPN devraient avoir accès. Si une exposition Internet est nécessaire, placer Gitea derrière un reverse proxy avec WAF.
• Auditer les dépôts et leurs hooks : rechercher des hooks serveur (pre-receive, update, post-receive) non documentés ou récemment modifiés.
• Vérifier l'intégrité des artefacts produits par vos pipelines sur les 30 derniers jours, en particulier si Gitea était exposé pendant cette période.