Kritická zranitelnost typu code injection v platformě pro hostování Gitu Gitea, označená CVE-2026-60004 a hodnocená 9,8 z 10 na stupnici CVSS, je nyní aktivně zneužívána. Chyba umožňuje komukoliv s běžným právem zápisu do repozitáře zneužít Giteain diffpatch endpoint, nainstalovat spustitelný Git hook a spouštět libovolné shellové příkazy s oprávněními servisního účtu Gitea.
Na instancích s otevřenou registrací je tato podmínka triviální — útočník si stačí vytvořit běžný účet, založit repozitář a spustit řetězec exploitu. Jeden zdokumentovaný útok na zastaralou, samostatně hostovanou instanci Gitea trval zhruba 11 sekund a nasadil těžařský malware; incident poprvé popsal článek na ruské blogovací platformě Habr.
Agentura CISA potvrdila aktivní zneužívání 25. srpna 2026, zařadila CVE-2026-60004 do svého katalogu Known Exploited Vulnerabilities a nařídila federálním civilním úřadům nápravu do 28. srpna. Chybu vývojáři Gitea opravili ve verzi 1.27.1, nejnovější opravené vydání je 1.27.2 — administrátoři starších verzí by měli neprodleně aktualizovat a pokud možno vypnout otevřenou registraci.