"Gitea ฉีดโค้ดผ่าน diffpatch ถูกโจมตีจริง CVE-2026-60004"
"ผู้ดูแลระบบ Gitea รุ่นที่ได้รับผลกระทบควรอัปเดตทันที เพราะ CVE-2026-60004 ถูกนำไปโจมตีจริงแล้ว"
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้โจมตีที่เขียน repository ได้อาจใช้ diffpatch ฝัง Git hook เพื่อรันคำสั่งในสิทธิ์บัญชีบริการ Gitea
- ใครควรอ่าน
- ผู้ดูแลระบบที่ให้บริการ Gitea รุ่นตั้งแต่ 1.17 ถึงก่อน 1.27.1
- ทางแก้แบบสั้น
- เร่งอัปเกรดเป็น Gitea 1.27.1 ซึ่งมีแพตช์ และตรวจสอบเหตุผิดปกติหากสงสัยว่าถูกบุกรุก
พอดีไล่ฟีด CISA KEV เจอช่องโหว่ Gitea หมายเลข CVE-2026-60004 ที่ถูกนำไปโจมตีจริงแล้ว โดยเพิ่มเข้ารายการเมื่อ 25 สิงหาคม 2026 จุดที่ต้องระวังคือผู้โจมตีใช้สิทธิ์เขียน repository ส่ง patch ผ่าน API แล้วรันคำสั่งบนเครื่องที่ให้บริการ Gitea ได้ เรื่องนี้เลยควรจัดเป็นงานแก้ไขเร่งด่วน ไม่ควรรอรวมกับการอัปเดตฟีเจอร์รอบใหญ่ ตามรายการ KEV ของ CISA
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจรุ่น Gitea ที่เปิดให้บริการและเร่งอัปเกรดเป็น 1.27.1 หากยังใช้รุ่นตั้งแต่ 1.17 ถึงก่อน 1.27.1 เพราะมีการโจมตีจริงแล้ว
เกิดอะไรขึ้น
ช่องโหว่อยู่ใน API diffpatch ที่รับ patch มาแก้ไฟล์ใน repository ผู้โจมตีอาจใช้ข้อมูลใน repository ติดตั้ง Git hook ซึ่งเป็นสคริปต์ที่ Git เรียกทำงาน แล้วรันคำสั่งด้วยสิทธิ์บัญชีบริการ Gitea ได้ ผลกระทบเลยไปถึงเซิร์ฟเวอร์ที่รันบริการ ผู้พัฒนาจัดระดับ Critical และระเบียน CVE ให้คะแนน CVSS 3.1 เท่ากับ 9.8 ตามประกาศ Gitea และระเบียน CVE
ผู้โจมตีต้องมีสิทธิ์เขียน repository ก่อน หากเปิดให้คนภายนอกสมัครบัญชีและสร้าง repository เองได้ ผู้โจมตีก็อาจได้สิทธิ์นี้จากการสมัครตามปกติ การปิดรับสมัครอย่างเดียวเลยไม่แก้ความเสี่ยงจากบัญชีที่มีสิทธิ์อยู่แล้ว ตามคำอธิบายของผู้พัฒนา
คำสั่งจะทำงานด้วยสิทธิ์บัญชีบริการ Gitea ผู้ดูแลควรตรวจว่าบัญชีนี้เข้าถึงข้อมูลหรือทรัพยากรใดได้บ้าง เพื่อประเมินความเสียหายหากพบการบุกรุก
ใครโดนและรุ่นที่แก้
ระเบียน CVE และประกาศผู้พัฒนาระบุช่วงรุ่นตรงกันดังตาราง ส่วนประกาศออก Gitea 1.27.1 ยืนยันว่ารวมแพตช์สำหรับช่องโหว่นี้แล้ว และแนะนำให้อัปเกรดโดยเร็ว ตามบันทึกการออกรุ่น
| ผลิตภัณฑ์ | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ไข |
|---|---|---|
| Gitea | ตั้งแต่ 1.17 ถึงก่อน 1.27.1 | 1.27.1 |
ต้องทำอะไร
เริ่มจากตรวจเลขรุ่นของตัว Gitea ที่ใช้งานจริง หากติดตั้ง binary และเรียกผ่าน PATH ได้ ใช้คำสั่งนี้เพื่อตรวจรุ่น ไม่ใช่คำสั่งติดตั้งแพตช์
gitea --version
ถ้าอยู่ในช่วงที่ได้รับผลกระทบ ให้สำรองข้อมูลและค่าตั้งก่อน แล้วอัปเกรดตามวิธีติดตั้งเดิม โดยตรวจคู่มือที่ผู้พัฒนาลิงก์ไว้ในประกาศรุ่น 1.27.1 หลังอัปเกรดให้ยืนยันเลขรุ่นของบริการที่รันอยู่จริง และทดสอบการเข้าใช้งานกับการอ่านเขียน repository ตามปกติ
หากสงสัยว่าถูกโจมตี ให้เก็บ log และตรวจบัญชีกับ repository ที่ผิดปกติด้วย การลงแพตช์ไม่ได้ลบผลจากการบุกรุกก่อนหน้า CISA ระบุให้ตรวจร่องรอยการบุกรุกสำหรับรายการนี้ และกำหนดแก้ภายใน 28 สิงหาคม 2026 สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ในขอบเขต องค์กรอื่นควรใช้ข้อมูลการโจมตีจริงมาจัดลำดับงานแก้ไข ตามข้อมูล KEV ต้นทาง
ส่วนตัวผมให้แพตช์รายการนี้ทันที โดยเฉพาะบริการที่เปิดรับผู้ใช้ภายนอก เพราะมีทั้งรุ่นแก้ไขและหลักฐานการโจมตีจริงแล้ว ที่มา: CVE-2026-60004 (https://www.cve.org/CVERecord?id=CVE-2026-60004) และ Gitea Security Advisory หากมีรายละเอียดจากประกาศทางการเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย