ตามรายงานของ Shadowserver กลุ่มเฝ้าระวังด้านความปลอดภัยทางไซเบอร์ระบุว่า Instances Gitea กว่า 8,300 ตัวที่เชื่อมต่อกับอินเทอร์เน็ตยังคงไม่ได้รับการอัปเดตแพตช์แก้ไขช่องโหว่ด้านความปลอดภัยระดับ Critical ซึ่งกำลังถูกใช้ในการโจมตีแบบ Remote Code Execution อย่างต่อเนื่อง
ช่องโหว่ Code Injection (CVE-2026-60004) ที่ตกเป็นเป้าหมายในการโจมตีครั้งนี้ ได้รับการรายงานโดย Shai Rod นักวิจัยด้านความปลอดภัยจาก Salesforce โดยช่องโหว่นี้ช่วยให้ผู้โจมตีที่ผ่านการยืนยันตัวตนสามารถรันคำสั่ง Shell ใด ๆ ก็ได้ด้วยสิทธิ์ Service account ของ Gitea ผ่านการส่งแพตช์ที่เป็นอันตรายผ่าน API endpoint ที่ชื่อ diffpatch
แม้ว่าการจะโจมตีให้สำเร็จได้นั้นจำเป็นต้องมีสิทธิ์ในการ Write ลงใน Repository ที่ Hosted อยู่บนเซิร์ฟเวอร์ที่มีช่องโหว่ แต่เนื่องจาก Gitea มีการเปิดใช้งานการลงทะเบียนด้วยตนเองไว้เป็นค่า Default จึงทำให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนสามารถสมัครบัญชี, สร้าง Repository ใหม่ และทำให้เกิดช่องโหว่ได้โดยไม่ต้องมีข้อมูล Credentials มาก่อน
ทีมรักษาความปลอดภัยของ Gitea อธิบายว่า "Diffpatch endpoint ของ Gitea สามารถถูกนำไปใช้ในทางที่ผิด เพื่อติดตั้ง และรัน Git hook จากเนื้อหาที่ควบคุมโดย Repository ได้ ผู้โจมตีที่มีสิทธิ์ในการ Write แบบ Ordinary ใน Repository จะสามารถรันคำสั่ง Shell ใด ๆ ก็ได้ในฐานะผู้ใช้ OS ของ Gitea และด้วยค่า Default ที่เปิดให้ลงทะเบียน ผู้เข้าชมที่ไม่ระบุตัวตนจึงสามารถรับสิทธิ์ในการ Write ที่จำเป็นได้โดยการสมัครบัญชี และสร้าง Repository"
Gitea ได้ปล่อยเวอร์ชัน 1.27.1 ออกมาเมื่อวันที่ 27 กรกฎาคม เพื่อแก้ไขช่องโหว่ CVE-2026-60004 และแนะนำให้ผู้ใช้อัปเกรดเซิร์ฟเวอร์ของตนโดยเร็วที่สุด
เมื่อวันศุกร์ที่ผ่านมา กลุ่มเฝ้าระวังความปลอดภัยทางอินเทอร์เน็ต Shadowserver ได้ออกมาแจ้งเตือนว่า เซิร์ฟเวอร์ Gitea เกือบ 8,400 เครื่องที่เปิดการเชื่อมต่อทางออนไลน์ยังคงไม่ปลอดภัย และเสี่ยงต่อการถูกโจมตีที่กำลังเกิดขึ้นอย่างต่อเนื่อง
Shadowserver ระบุว่า "เรากำลังสแกน และรายงาน Instances ของ Gitea ที่มีช่องโหว่ CVE-2026-60004 (Code injection) โดยพบ IP ที่เสี่ยงต่อช่องโหว่นี้จำนวน 8,393 IP เมื่อวันที่ 27 ส.ค. 2026"
เมื่อวันอังคาร CISA ยังได้เพิ่มช่องโหว่นี้ลงใน Catalog ของช่องโหว่ที่กำลังถูกใช้ในการโจมตีจริง และสั่งการให้หน่วยงานพลเรือนของรัฐบาลกลางสหรัฐฯ (FCEB) อัปเดตแพตช์เซิร์ฟเวอร์ของตนภายในสามวัน หรือภายในวันที่ 28 สิงหาคม 2026 ตามที่กำหนดไว้ในคำสั่ง Binding Operational Directive (BOD) 26-04
แม้ว่าหน่วยงานด้านความปลอดภัยทางไซเบอร์จะยังไม่ได้เปิดเผยรายละเอียดเพิ่มเติมเกี่ยวกับการโจมตีที่มุ่งเป้าไปที่ช่องโหว่นี้ แต่ความเคลื่อนไหวดังกล่าวน่าจะมาจากรายงานการโจมตีที่เกิดขึ้นจริง ซึ่งพบว่าผู้โจมตีกำลังแพร่กระจายมัลแวร์ Cryptocurrency mining ลงในเซิร์ฟเวอร์ Gitea ที่ยังไม่ได้อัปเดตแพตช์
CISA เตือนว่า "ช่องโหว่ประเภทนี้เป็นช่องทางการโจมตีที่กลุ่มแฮ็กเกอร์มักใช้บ่อยครั้ง และทำให้เกิดความเสี่ยงอย่างมากต่อองค์กรของรัฐบาลกลาง"
เมื่อเดือนกรกฎาคม ยังพบกลุ่มผู้คุกคามทางไซเบอร์ใช้ประโยชน์จากช่องโหว่ระดับ Critical อีกรายการหนึ่ง (CVE-2026-20896) ใน Docker image อย่างเป็นทางการของ Gitea ซึ่งเป็นช่องโหว่ Authentication bypass ที่ส่งผลกระทบต่อ Instances ของ Gitea ที่มีการเปิดใช้งาน Reverse proxy authentication headers
Gitea เป็นแพลตฟอร์ม Code Hosting และ DevOps ทางเลือกในรูปแบบ Self-hosted สำหรับใช้งานทดแทนแพลตฟอร์มประเภท Cloud-hosted อย่าง GitHub, GitLab และ Bitbucket โดยปัจจุบันมียอดการติดตั้งมากกว่า 400,000 แห่ง และมีผู้ร่วมพัฒนาเกือบ 1,500 ราย
ที่มา : Bleepingcomputer
You must be logged in to post a comment.