ソフト開発で使われるセルフホスト型のGitサービス「Gitea（ギテア）」に、深刻な欠陥が見つかり、実際の攻撃に悪用され始めました。米サイバー機関CISAは緊急の注意喚起を出し、連邦政府機関に8月28日までの対処を命じています。
危険度9.8の致命的欠陥、CISAが緊急指定
問題の脆弱性は「CVE-2026-60004」と呼ばれ、危険度を示すCVSSスコアは最高値に近い9.8（10点満点）と評価されています。攻撃者がリモートから任意のコードを実行できる「RCE」と呼ばれる致命的な欠陥で、サーバーを乗っ取られる恐れがあります。米CISA（サイバーセキュリティ・インフラ庁）は8月25日、この欠陥を「悪用が確認された脆弱性」の一覧に追加しました。
この欠陥は、リポジトリ（プログラムの保管場所）への書き込み権限を持つ利用者が、細工したデータを送り込むことで、Giteaのサービス権限で任意のシェルコマンドを実行できてしまうものです。さらに問題なのは、Giteaの初期設定では利用者が自由に登録できる状態になっている点です。このため、攻撃者は認証情報を持たなくても、自分でアカウントを作ってリポジトリを用意すれば、外部から欠陥を突けてしまいます。
採掘マルウェアを送り込む攻撃も
修正パッチが公開されてから1カ月足らずで、実際の攻撃へと発展しました。報告によると、攻撃者は未修正のGiteaサーバーに暗号資産（仮想通貨）を採掘するマルウェアを送り込んでいるとされます。サーバーの計算資源をひそかに奪い、金銭を得る手口です。
対策として、Gitea側は修正版を公開しており、管理者には最新版（1.27.2）への速やかな更新と、すでに侵入されていないかの点検が呼びかけられています。自社でGiteaを運用している組織は、初期設定のまま公開していないか、自己登録機能を無効にしているかを、今すぐ確認する必要があります。
日本への影響
Giteaは、外部のクラウドに依存せず自社サーバー上でソースコードを管理できる手軽さから、日本国内でもスタートアップや中小の開発現場、社内システムの管理などで広く使われています。ソースコードには企業の機密や認証情報が含まれることが多く、乗っ取られれば情報流出やサプライチェーン攻撃（取引先を経由した連鎖的な被害）の起点になりかねません。他人事ではないといえます。
日本の企業・開発者に求められるのは、まず自社でGiteaを使っているかを棚卸しし、使っている場合は直ちに最新版へ更新することです。あわせて、不要な自己登録機能を止め、外部から不用意にアクセスできない設定にしておくことが重要になります。近年は認証基盤やGit関連ツールを狙った攻撃が相次いでおり、「自社は小規模だから狙われない」という思い込みこそ危険だと肝に銘じておく必要があります。
まとめ：開発の土台であるコード管理ツールが狙われる時代です。まずは自社の「Gitea」を今日中に点検すること。それが最も確実な防御の第一歩になりますね。
出典：
BleepingComputer – Hackers now exploit critical Gitea flaw
SecurityWeek – CISA Warns of Exploited Gitea Vulnerability
CISA – Adds One Known Exploited Vulnerability to Catalog
Photo: Jordan Harrison / Unsplash
