"Gitea ฉีดโค้ดผ่าน diffpatch ถูกโจมตีจริง CVE-2026-60004"
"ผู้ดูแลระบบ Gitea รุ่นที่ได้รับผลกระทบควรอัปเดตทันที เพราะ CVE-2026-60004 ถูกนำไปโจมตีจริงแล้ว"
1-minute summary
- Symptom / problem
- ผู้โจมตีที่เขียน repository ได้อาจใช้ diffpatch ฝัง Git hook เพื่อรันคำสั่งในสิทธิ์บัญชีบริการ Gitea
- Who should read
- ผู้ดูแลระบบที่ให้บริการ Gitea รุ่นตั้งแต่ 1.17 ถึงก่อน 1.27.1
- Fix in short
- เร่งอัปเกรดเป็น Gitea 1.27.1 ซึ่งมีแพตช์ และตรวจสอบเหตุผิดปกติหากสงสัยว่าถูกบุกรุก
พอดีไล่ฟีด CISA KEV เจอช่องโหว่ Gitea หมายเลข CVE-2026-60004 ที่ถูกนำไปโจมตีจริงแล้ว โดยเพิ่มเข้ารายการเมื่อ 25 สิงหาคม 2026 จุดที่ต้องระวังคือผู้โจมตีใช้สิทธิ์เขียน repository ส่ง patch ผ่าน API แล้วรันคำสั่งบนเครื่องที่ให้บริการ Gitea ได้ เรื่องนี้เลยควรจัดเป็นงานแก้ไขเร่งด่วน ไม่ควรรอรวมกับการอัปเดตฟีเจอร์รอบใหญ่ ตามรายการ KEV ของ CISA
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจรุ่น Gitea ที่เปิดให้บริการและเร่งอัปเกรดเป็น 1.27.1 หากยังใช้รุ่นตั้งแต่ 1.17 ถึงก่อน 1.27.1 เพราะมีการโจมตีจริงแล้ว
เกิดอะไรขึ้น
ช่องโหว่อยู่ใน API diffpatch ที่รับ patch มาแก้ไฟล์ใน repository ผู้โจมตีอาจใช้ข้อมูลใน repository ติดตั้ง Git hook ซึ่งเป็นสคริปต์ที่ Git เรียกทำงาน แล้วรันคำสั่งด้วยสิทธิ์บัญชีบริการ Gitea ได้ ผลกระทบเลยไปถึงเซิร์ฟเวอร์ที่รันบริการ ผู้พัฒนาจัดระดับ Critical และระเบียน CVE ให้คะแนน CVSS 3.1 เท่ากับ 9.8 ตามประกาศ Gitea และระเบียน CVE
ผู้โจมตีต้องมีสิทธิ์เขียน repository ก่อน หากเปิดให้คนภายนอกสมัครบัญชีและสร้าง repository เองได้ ผู้โจมตีก็อาจได้สิทธิ์นี้จากการสมัครตามปกติ การปิดรับสมัครอย่างเดียวเลยไม่แก้ความเสี่ยงจากบัญชีที่มีสิทธิ์อยู่แล้ว ตามคำอธิบายของผู้พัฒนา
คำสั่งจะทำงานด้วยสิทธิ์บัญชีบริการ Gitea ผู้ดูแลควรตรวจว่าบัญชีนี้เข้าถึงข้อมูลหรือทรัพยากรใดได้บ้าง เพื่อประเมินความเสียหายหากพบการบุกรุก
ใครโดนและรุ่นที่แก้
ระเบียน CVE และประกาศผู้พัฒนาระบุช่วงรุ่นตรงกันดังตาราง ส่วนประกาศออก Gitea 1.27.1 ยืนยันว่ารวมแพตช์สำหรับช่องโหว่นี้แล้ว และแนะนำให้อัปเกรดโดยเร็ว ตามบันทึกการออกรุ่น
| ผลิตภัณฑ์ | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ไข |
|---|---|---|
| Gitea | ตั้งแต่ 1.17 ถึงก่อน 1.27.1 | 1.27.1 |
ต้องทำอะไร
เริ่มจากตรวจเลขรุ่นของตัว Gitea ที่ใช้งานจริง หากติดตั้ง binary และเรียกผ่าน PATH ได้ ใช้คำสั่งนี้เพื่อตรวจรุ่น ไม่ใช่คำสั่งติดตั้งแพตช์
gitea --version
ถ้าอยู่ในช่วงที่ได้รับผลกระทบ ให้สำรองข้อมูลและค่าตั้งก่อน แล้วอัปเกรดตามวิธีติดตั้งเดิม โดยตรวจคู่มือที่ผู้พัฒนาลิงก์ไว้ในประกาศรุ่น 1.27.1 หลังอัปเกรดให้ยืนยันเลขรุ่นของบริการที่รันอยู่จริง และทดสอบการเข้าใช้งานกับการอ่านเขียน repository ตามปกติ
หากสงสัยว่าถูกโจมตี ให้เก็บ log และตรวจบัญชีกับ repository ที่ผิดปกติด้วย การลงแพตช์ไม่ได้ลบผลจากการบุกรุกก่อนหน้า CISA ระบุให้ตรวจร่องรอยการบุกรุกสำหรับรายการนี้ และกำหนดแก้ภายใน 28 สิงหาคม 2026 สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ในขอบเขต องค์กรอื่นควรใช้ข้อมูลการโจมตีจริงมาจัดลำดับงานแก้ไข ตามข้อมูล KEV ต้นทาง
ส่วนตัวผมให้แพตช์รายการนี้ทันที โดยเฉพาะบริการที่เปิดรับผู้ใช้ภายนอก เพราะมีทั้งรุ่นแก้ไขและหลักฐานการโจมตีจริงแล้ว ที่มา: CVE-2026-60004 (https://www.cve.org/CVERecord?id=CVE-2026-60004) และ Gitea Security Advisory หากมีรายละเอียดจากประกาศทางการเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first