Wer Quellcode selbst hostet, vertraut seiner Git-Plattform einige der sensibelsten Daten des Unternehmens an: Quellcode, Zugangsdaten, CI/CD-Geheimnisse und Deployment-Schlüssel. Genau hier setzen zwei aktuelle Schwachstellen in Gitea an, einer weit verbreiteten selbstgehosteten Alternative zu GitHub und GitLab. CVE-2026-59774 erlaubt es unauthentifizierten Angreifern, beliebige Dateien vom Server zu lesen, und lässt sich zu einer vollständigen Codeausführung ausbauen. Zusammen mit CVE-2026-60004 wurde die Lücke in Gitea 1.27.1 geschlossen. Wir erklären, was dahintersteckt und was ihr jetzt tun solltet.
Gitea ist eine schlanke, in Go geschriebene Git-Plattform, die viele Unternehmen im eigenen Rechenzentrum oder in der privaten Cloud betreiben. Sicherheitsforscher haben nun zwei kritische Schwachstellen offengelegt, die gemeinsam mit Version 1.27.1 behoben wurden. Die gravierendere der beiden, CVE-2026-59774, wurde mit einem CVSS-Score von 9.8 von 10 bewertet und gilt damit als kritisch.
Der Kern des Problems steckt im Org-mode-Renderer von Gitea. Die Anwendung initialisierte die zugrunde liegende Bibliothek go-org, ohne den Standard-Callback zum Einlesen von Dateien zu überschreiben. Dadurch konnte die Org-mode-Direktive #+INCLUDE mit absoluten Dateipfaden genutzt werden, um beliebige Dateien einzulesen, auf die das Dienstkonto von Gitea Zugriff hat. Ausgelöst wird das Ganze über einen speziell präparierten Aufruf des Endpunkts POST /{owner}/{repo}/markup mit gesetztem Datei-Modus.
Besonders brisant: Für den Angriff ist keinerlei Anmeldung nötig. Es genügt der Zugriff auf ein öffentliches Repository, in dem die Code-Einheit aktiviert ist. Damit ist die Lücke auch für Server relevant, die bewusst öffentliche Projekte bereitstellen.
Ein reiner Lesezugriff auf Dateien klingt zunächst überschaubar, entfaltet in der Praxis aber eine gefährliche Kettenwirkung. Angreifer können sich schrittweise von einer harmlos wirkenden Leseoperation bis zur kompletten Serverübernahme vorarbeiten.
Über die Lücke lässt sich die zentrale Konfigurationsdatei app.ini auslesen und daraus der geheime INTERNAL_TOKEN extrahieren.
Mit dem erbeuteten Token kann über den internen Logger ein manipulierter Git-Hook auf dem Server platziert werden.
Beim nächsten anonymen Clone wird der Hook ausgelöst und führt beliebigen Code im Kontext des Gitea-Dienstes aus. Aus dem Dateilesen wird so eine Remote Code Execution.
Diese Kombination aus fehlender Authentifizierung, hohem CVSS-Wert und einem klaren Weg zur Codeausführung macht die Schwachstelle zu einem erstklassigen Ziel. Bekannte, sauffindbare Instanzen im Internet sind erfahrungsgemäß schnell im Visier automatisierter Scans.
Betroffen sind alle Gitea-Versionen von 1.22.1 bis einschließlich 1.27.0. Wer eine dieser Versionen einsetzt und mindestens ein öffentliches Repository mit aktivierter Code-Einheit bereitstellt, sollte von einer akuten Gefährdung ausgehen. Ob eure Instanz bereits sondiert wurde, lässt sich anhand der Zugriffsprotokolle einschätzen.
Prüft eure Logs gezielt auf anonyme POST-Anfragen an /{owner}/{repo}/markup, insbesondere solche, die den Org-mode-Renderer ansprechen. Ein aktives Ausnutzen in freier Wildbahn ist zum aktuellen Zeitpunkt nicht bekannt, und die Lücke steht noch nicht im Known-Exploited-Vulnerabilities-Katalog der US-Behörde CISA. Das ist jedoch kein Grund zur Entwarnung, sondern lediglich ein Zeitfenster zum Handeln.
Tipp: Verlasst euch nicht allein darauf, dass in den Logs nichts Auffälliges steht. Fehlende Spuren bedeuten nicht zwingend, dass kein Zugriff stattgefunden hat. Behandelt eine verwundbare Instanz vorsorglich als potenziell kompromittiert, bis das Gegenteil belegt ist.
Die wichtigste Maßnahme ist eindeutig und dringend: Aktualisiert eure Gitea-Installation umgehend auf Version 1.27.1 oder neuer. Der Patch überschreibt den fehlerhaften Datei-Callback so, dass Include-Pfade nur noch als reiner Text zurückgegeben werden, statt sie tatsächlich vom Dateisystem aufzulösen.
Falls der Verdacht besteht, dass eure Instanz vor dem Update bereits erreichbar und angreifbar war, reicht das Einspielen des Patches allein nicht aus. Ein möglicherweise abgeflossener INTERNAL_TOKEN bleibt sonst gültig. Rotiert in diesem Fall konsequent alle relevanten Geheimnisse:
Ein häufiges Missverständnis: Nach dem Update sei alles erledigt. Wurde der Server jedoch bereits übernommen, können Angreifer sich über eingeschleuste Hooks, zusätzliche Konten oder hinterlegte Schlüssel dauerhaft festgesetzt haben. Ein Patch schließt die Tür, entfernt aber keine bereits im Haus befindlichen Eindringlinge.
Ob euch diese konkrete Schwachstelle betrifft oder ihr grundsätzlich sicherstellen wollt, dass kritische Lücken nicht wochenlang unentdeckt bleiben: Wir begleiten euch von der Analyse bis zur nachhaltigen Absicherung.
Wir identifizieren verwundbare Systeme in eurer Umgebung, bewerten das Risiko realistisch und priorisieren die richtigen Gegenmaßnahmen.
In kontrollierten Tests prüfen wir eure selbstgehosteten Dienste auf ausnutzbare Schwachstellen, bevor es Angreifer tun.
Bei Verdacht auf eine Kompromittierung analysieren wir den Vorfall, sichern Spuren und unterstützen euch bei sauberer Wiederherstellung.
Ihr wollt eure Git-Infrastruktur absichern? Wir bieten einen kostenlosen Erstberatungstermin an und schauen gemeinsam auf euren Handlungsbedarf. Jetzt Kontakt aufnehmen.
CVE-2026-59774 und CVE-2026-60004 zeigen, wie schnell aus einer scheinbar harmlosen Rendering-Funktion ein Weg zur vollständigen Serverübernahme wird. Eine unauthentifizierte Lücke mit CVSS 9.8 in einer Plattform, die Quellcode und Geheimnisse verwaltet, gehört zu den Szenarien, die man nicht auf die lange Bank schieben sollte.
Aktualisiert betroffene Instanzen umgehend auf Gitea 1.27.1, prüft eure Zugriffsprotokolle und rotiert bei Verdacht konsequent alle Geheimnisse. Wer selbst hostet, braucht einen verlässlichen Prozess, um solche Meldungen früh zu erkennen und schnell zu reagieren.
Mint Secure berät und begleitet euch dabei, eure Systeme widerstandsfähig aufzustellen und im Ernstfall handlungsfähig zu bleiben. Sprecht uns an.