Gitea היא מערכת לניהול קוד מקור שארגונים מריצים על שרת משלהם, כתחליף מקומי לשירות ענן. בגרסאות שלפני 1.27.1 אפשר להגיע דרך ה-API שלה להתקנה של hook, סקריפט שהשרת מריץ בעצמו, ומשם להריץ קוד. הציון 9.8, וב-25 באוגוסט 2026 נכנסה החולשה לרשימת החולשות שתוקפים מנצלים בפועל.
מה החולשה?
Git, המנגנון שמאחורי המערכת, יודע להפעיל סקריפטים משלו ברגעים מסוימים: כשמישהו דוחף קוד, כשענף נוצר, וכן הלאה. לסקריפטים האלה קוראים hooks, והם רצים על השרת עצמו ובהרשאות של התהליך שמפעיל אותם. זו יכולת שימושית ולגיטימית לגמרי, שדרכה ארגונים מריצים בדיקות תקינות או מעדכנים מערכות אחרות, וזה בדיוק מה שהופך אותה למטרה נוחה.
המסלול שמגיע אליה כאן הוא ה-API שמטפל בהחלת שינויים על קבצים, diffpatch. במקום להשתמש בו כדי לשנות תוכן של קובץ בתוך המאגר, אפשר להשתמש בו כדי לכתוב קובץ במקום שבו Git מחפש את ה-hooks שלו. מרגע שהקובץ שם, השרת יריץ אותו לבד בפעם הבאה שהאירוע המתאים קורה. התוקף אינו צריך לפרוץ להרצה, הוא נותן למערכת להריץ בשבילו.
זה ההבדל בין חולשה ששולחת מידע החוצה לבין חולשה שמשאירה דריסת רגל. שרת שהריץ hook של תוקף הוא שרת בשליטתו.
מי מושפע?
כל התקנה של Gitea בגרסה שלפני 1.27.1. הרשומה אינה מגבילה את החולשה למערכת הפעלה או לתצורה מסוימת, כלומר מה שקובע הוא טווח הגרסאות ולא מקרה קצה שצריך לכוון אליו.
בפועל אלה שרתים של צוותי פיתוח ושל ארגונים שמעדיפים להחזיק את הקוד אצלם. חלק מההתקנות האלה חשופות לאינטרנט כדי שאפשר יהיה להגיע אליהן מהבית, וזה המקרה שדורש טיפול מיידי. משתמש קצה אינו מריץ Gitea בעצמו, אבל אם הקוד של מוצר שהוא משתמש בו יושב על שרת כזה, החולשה נוגעת לו בעקיפין.
האם מנוצלת בפועל?
כן. ב-25 באוגוסט 2026 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן, והמועד שנקבע לגופים הפדרליים לתקן היה 28 באוגוסט, שלושה ימים בלבד.
סדר האירועים כאן חריג. הכניסה לקטלוג הייתה ב-25 באוגוסט, ורק ב-26 באוגוסט פרסמה NVD את הרשומה על החולשה. כלומר האישור שהיא מנוצלת הקדים את התיאור הרשמי שלה. בין המקורות שברשומה מופיע גם מאגר ציבורי ב-GitHub שנושא את מספר החולשה, כך שהפרטים הטכניים אינם סוד.
מה עושים?
עדכנו ל-Gitea 1.27.1, הגרסה הראשונה שמחוץ לטווח. פרטי המהדורה נמצאים בהודעת השחרור של Gitea, וההסבר של הפרויקט על החולשה עצמה נמצא בהודעת האבטחה במאגר.
עד שהעדכון קורה, הורידו את השרת מהאינטרנט הפתוח והשאירו גישה אליו מהרשת הפנימית או דרך VPN בלבד. הניצול מתבצע מרחוק דרך ה-API, וחסימת הדרך אליו מבטלת את התנאי.
אם השרת היה חשוף בגרסה ישנה, הניחו שמישהו בדק אותו. עברו על ספריות ה-hooks של המאגרים וחפשו קבצים שאיש לא הוסיף במכוון, בדקו ביומני הגישה פניות ל-diffpatch שאתם לא ביצעתם, והחליפו מפתחות ופרטי אימות ששמורים על השרת או במשתני הסביבה שלו. עדכון גרסה מונע את הכניסה הבאה, הוא אינו מוציא מי שכבר נכנס.