文章总结： CISA紧急预警Gitea高危RCE漏洞CVE-2026-60004CVSS9.8已被在野利用植入挖矿木马攻击者利用开放注册与diffpatch接口注入GitHook提权受影响版本1.17至1.27.0建议立即升级至1.27.1并关闭公网注册与强制登录 综合评分： 89 文章分类： 漏洞预警,应急响应,恶意软件,安全工具,安全意识

【安全圈】CISA紧急预警：Gitea高危RCE在野遭挖矿木马利用

安全圈

2026年8月26日 19:00 江苏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

关键词

挖矿木马

美国网络安全与基础设施安全局（CISA）今日正式发布紧急安全通告，将开源 Git 代码托管平台 Gitea 中存在的严重远程代码执行漏洞（CVE-2026-60004）加入其已知被利用漏洞（KEV）目录，并勒令相关单位在 2026年8月28日前 完成紧急加固。

该漏洞的 CVSS 严重性评分为 9.8。威胁情报与社区开发者排查确认，黑客团伙正利用该缺陷对全球开启开放注册的 Gitea 实例发起大规模自动化扫描与静默渗透，成功攻破后立即下发挖矿木马（Cryptojacking）榨干服务器 CPU 算力。

🔍 破防原理：diffpatch 接口缺陷与 Git Hook 提权

安全研究人员与受害者排查复盘揭示了该漏洞的完整利用链条：

1. 默认开放注册被利用： 在许多默认部署的 Gitea 实例中，未认证访客可以直接注册新账号并创建仓库，从而以合法身份拿到仓库的普通写入权限；

2. diffpatch 端点代码注入： 攻击者向 Gitea 的 /diffpatch 接口发送特制的恶意补丁包，可滥用该接口直接植入并强行执行恶意的 Git Hook 钩子脚本；

3. 系统级权限执行与清场挖矿： 恶意载荷以 Gitea 系统服务账户权限执行任意 Shell 命令后，会立即清理 LD_PRELOAD 环境变量、扫描并强行杀死服务器上其他竞争的高占用进程，随后下载运行挖矿程序并自动自毁清理落地文件。

“只要 Gitea 开启了公网自由注册，黑客就能零门槛通过 HTTPS 接口实现代码注入并瞬间夺取底层服务器权限。”

⚠️ 重点排查范围与脆弱配置

以下 Gitea 版本与服务配置存在极高被利用风险：

• 受影响版本： Gitea 1.17 至 1.27.0 的所有历史版本； • 高危配置项： DISABLE_REGISTRATION = false（允许公开注册）、REGISTER_EMAIL_CONFIRM = false（无需邮箱确认）； • 典型中毒迹象： 云主机提供商告警 CPU 占用持续超过 70%~90%，系统后台出现未知高负载计算进程。

🛡️ 应急加固与防护处置指南

✅ 立即升级官方修复版本： 将 Gitea 服务立即升级至 1.27.1 或更高安全版本；

✅ 关闭公网自由注册功能： 在 app.ini 中配置 DISABLE_REGISTRATION = true，仅允许管理员手动创建账号；

✅ 强制登录查看机制： 设置 REQUIRE_SIGNIN_VIEW = true，禁止未认证访客访问任何仓库页面与 API 接口；

✅ 全面检查服务器钩子与进程日志： 审计所有仓库目录下的 custom_hooks 脚本，排查是否存在异常生成的系统级定时任务与后门。

END

阅读推荐

【安全圈】Oracle爆出满分在野漏洞：黑客免密篡改核心数据

【安全圈】WordPress插件曝认证绕过：黑客免密直取管理员权限

【安全圈】Weedhack木马伪装游戏客户端：SEO投毒劫持电脑

【安全圈】三大网银木马升级肆虐：ToxicPanda与Manic全面突袭全球金融

安全圈

←扫码关注我们

网罗圈内热点 专注网络安全

实时资讯一手掌握！

好看你就分享 有用就点个赞

支持「安全圈」就点个三连吧！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全圈 《【安全圈】CISA紧急预警：Gitea高危RCE在野遭挖矿木马利用》