تخيل إنك سايب التسجيل مفتوح لكل الناس على سيرفر الـ Gitea عندك، وفي لحظة ييجي هكر يسجل حساب عادي ويستغل ثغرة في السيستم عشان ينفذ أوامر النظام بالكامل، ويقلب السيرفر لمزرعة تعدين للعملات الرقمية من غير ما تاخد بالك!
التقرير بيكشف عن استغلال فعلي للثغرة الحرجة CVE-2026-60004 بسكور 9.8 في منصة Gitea، واللي أدت لإضافة الثغرة لقائمة CISA للثغرات المستغلة عالمياً (KEV Catalog)، مع تنبيهات ضرورية للتحديث فوراً.
الخدعة كلها بتعتمد على شغل الـ Code Injection في الـ diffpatch API endpoint؛ المهاجم لو عنده صلاحية كتابة (Write Access) على أي Repo بيقدر يستغل النقطة دي عشان بزرع Executable Git Hook، وبالتالي ينفذ Shell Commands بداخل السيرفر بصلاحيات مستخدم Gitea نفسه. الخطورة الأكبر إن أغلب السيرفرات بتبقى عاملة Open Registration بشكل الافتراضي، فالمهاجم مش محتاج حتى يسرق أكونت، ده بيدخل يعمل Sign up ويكريت Repo ويرمي الـ Payload بتاعه فوراً عبر الـ HTTPS.
الحملات الحالية شغالة بأسلوب Dropper Script بيمسح بيئة العمل من الـ LD_PRELOAD ويدور على أي بورت أو بروسيس واخدة CPU عالي يقتلها عشان يفضي السيرفر لنفسه، وبعدها ينزل الـ Payload الخبيث ويشغله ثم يمسح ملفاته من الديسك عشان يتخفى. الحل الوحيد لتفادي العبث ده هو التحديث للإصدار 1.27.1 وقفل خيار التسجيل المفتوح للمستخدمين الجدد.
August 26, 2026 381
