#CVE-2026-60004

Gitea 重大 RCE「CVE-2026-60004」を CISA が KEV 追加 diffpatch から Git hook 経由で任意コード実行、公開 PoC もあり

米 CISA は 8 月 25 日、self-hosted Git サービス Gitea の重大脆弱性 CVE-2026-60004 (CVSS 9.8) を Known Exploited Vulnerabilities カタログに追加しました。書き込み権を持つアカウントが diffpatch API に細工したパッチを送ると、一時 clone 上に Git hook を仕掛けて Gitea サービス権限で任意のシェルコマンドを実行できます。パッチ 1.27.1 は 7 月 27 日公開、公開 PoC を用いた実攻撃ではマイナー系ペイロードの投下が確認され、連邦機関の是正期限は 8 月 28 日です。