開発者向けコード管理ツール「Gitea（ギッティア）」のDockerイメージに、深刻な認証回避の欠陥が見つかりました。HTTPヘッダーを1つ送り込むだけで管理者権限を奪える恐れがあり、実際に攻撃を試みる動きも確認されています。
CVSS9.8の深刻な欠陥
問題の欠陥は「CVE-2026-20896」として管理され、危険度を示すCVSSスコアは10点満点中9.8と極めて高い水準です。原因は、GiteaのDockerイメージが設定ファイル「app.ini」で「REVERSE_PROXY_TRUSTED_PROXIES」の値を初期状態で「*（すべて許可）」と定めていた点にあります。管理者がリバースプロキシ認証を有効にしたままこの設定を放置すると、外部の攻撃者が「X-WEBAUTH-USER」という認証用ヘッダーを送るだけで、任意のユーザーになりすませてしまいます。
公表13日後に実攻撃を検知
セキュリティ企業サイズディグ（Sysdig）によると、欠陥の公表から13日後に、実際の攻撃とみられる最初の試みを検知しました。攻撃の手口は、公開されたHTTP/HTTPSポートを走査してGiteaの設置環境を特定し、認証回避を試みる自動化された偵察活動と一致していたといいます。悪用が成功すれば、ソースコードや認証情報（シークレット）が丸ごと外部に流出する恐れがあります。
約6,200件が公開状態
影響を受けるのはバージョン1.26.2以前のDockerイメージで、先月末に公開された1.26.3で修正されました。修正版ではワイルドカードの「*」が削除され、リバースプロキシ認証は明示的に有効化しない限り働かない仕様に改められています。インターネットに公開されているGiteaの設置環境は約6,200件確認されており、管理者には速やかな更新が求められます。
日本への影響
Giteaは自社サーバーで手軽に運用できるコード管理ツールとして、日本国内のIT企業やスタートアップ、大学の研究室などでも幅広く使われています。特にDocker（コンテナ技術）を使って手軽に立ち上げた環境は、初期設定のまま公開されているケースが少なくなく、今回の欠陥の影響を受けやすい状況にあります。ソースコードや認証情報が流出すれば、製品の設計情報や顧客システムへの侵入口が丸ごと奪われかねず、企業にとって致命的な被害につながります。
日本の開発現場では、まず自社のGiteaがどのバージョンかを確認し、1.26.3以降へ速やかに更新する対応が求められます。あわせて、インターネットに直接公開する必要があるのかを見直し、社内ネットワークやVPNの内側に置く運用も検討したいところです。攻撃が自動化された偵察の段階にある今こそ、被害が広がる前に手を打つ好機であり、システム管理者の迅速な行動が問われます。
まとめ：ヘッダー1つで管理者権限を奪われる深刻な欠陥です。日本の読者も、身近な開発環境の設定と更新状況を今すぐ確認しておきたいところです。
出典:
The Hacker News – Threat Actors Probe Gitea Docker Flaw CVE-2026-20896
BleepingComputer – Hackers exploit critical auth bypass in Gitea Docker image
Security Affairs – Critical Gitea Docker Bug Under Active Exploitation
Photo: Domaintechnik / Unsplash
