# Migliaia di server Gitea non aggiornati restano esposti a esecuzione di codice da remoto URL: https://menteinformatica.it/sicurezza-privacy/gitea-server-vulnerabili-patch-cve/ Autore: Giorgio Perillo Aggiornato: 2026-10-01 Categoria: Sicurezza e Privacy --- Una vulnerabilità critica in Gitea viene corretta il 27 luglio 2026 con la versione 1.27.1, secondo quanto risulterebbe dal blog ufficiale del progetto. Un mese dopo, secondo i dati diffusi dall’organizzazione di monitoraggio Shadowserver, **oltre 8.300 server restano ancora esposti** alla stessa falla, sfruttata attivamente da chi cerca di eseguire codice da remoto sui sistemi non aggiornati. Il numero esatto è 8.393 indirizzi IP vulnerabili rilevati il 27 agosto 2026. È un dato che racconta più della falla stessa: racconta quanto lentamente, in pratica, gli amministratori aggiornano i propri sistemi anche quando lo sfruttamento è già in corso. ## Come funziona l’attacco a Gitea La vulnerabilità, identificata come [CVE-2026-60004](https://nvd.nist.gov/vuln/detail/cve-2026-60004), riguarda l’endpoint diffpatch di Gitea, la piattaforma open source per l’hosting di codice sorgente usata come alternativa self-hosted a GitHub, GitLab e Bitbucket. Secondo BleepingComputer, che cita l’analisi tecnica del team di sicurezza di Gitea, quell’endpoint può essere manipolato per installare ed eseguire un git hook a partire da contenuti controllati da un repository, permettendo a chi ha accesso in scrittura di far girare comandi shell arbitrari con i permessi dell’account di sistema usato da Gitea. Il dettaglio che cambia la percezione del rischio è un altro: Gitea abilita di default la **registrazione aperta**. Questo significa che non serve nemmeno un account rubato o comprato: un visitatore qualunque può registrarsi, creare un repository e innescare la falla da solo, senza credenziali pregresse. **Attenzione:** non tutte le istanze Gitea raggiungibili da Internet sono a rischio allo stesso modo: lo sono quelle non ancora aggiornate alla versione 1.27.1 e, in particolare, quelle che hanno lasciato attiva la registrazione libera di default. ## Perché CISA ha dato tre giorni solo alle agenzie USA La vulnerabilità è stata inserita nel [catalogo delle vulnerabilità note e sfruttate attivamente di CISA](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-60004) il 25 agosto 2026, con scadenza di rimedio fissata al 28 agosto per le agenzie federali civili statunitensi (FCEB), secondo il documento pubblicato dall’ente. È un obbligo che riguarda solo l’amministrazione federale americana: per chiunque altro gestisca un’istanza Gitea, l’urgenza di aggiornare resta la stessa ma senza scadenze imposte dall’esterno. BleepingComputer riporta inoltre, come indiscrezione non confermata ufficialmente da CISA, che l’inserimento nel catalogo sarebbe legato a segnalazioni di attacchi in corso in cui gli aggressori installerebbero malware di cryptomining sui server non aggiornati. **Perché conta:** Gitea conta oltre 400.000 installazioni e quasi 1.500 collaboratori al progetto, secondo i dati riportati da BleepingComputer, ed è spesso usato da aziende per ospitare codice sorgente proprietario. Un server compromesso non significa solo cryptomining: significa un punto d’appoggio dentro l’infrastruttura di sviluppo di un’organizzazione. ## Un mese non è bastato Il dato che colpisce di più, secondo me, non è la falla in sé quanto il tempo trascorso. Un mese dopo il rilascio della correzione, con la vulnerabilità già inserita nel catalogo delle minacce attive, oltre 8.300 sistemi restano comunque scoperti. Il contesto è importante: gestire un’istanza Gitea self-hosted significa anche occuparsi in prima persona degli aggiornamenti, senza il paracadute di un fornitore cloud che applica le patch al posto dell’utente. Chi sceglie il self-hosting per ragioni di controllo si assume anche questo tipo di responsabilità operativa, e i numeri di Shadowserver suggeriscono che molti la stanno gestendo con ritardo. Un attaccante non ha bisogno di rubare una password: gli basta registrarsi. Per chi amministra un’istanza Gitea esposta su Internet, il passo pratico resta l’aggiornamento alla versione 1.27.1 o successiva, secondo quanto raccomandato dal progetto stesso al momento del rilascio della patch. Chi non può aggiornare subito dovrebbe quantomeno disattivare la registrazione libera, per chiudere la via d’accesso più semplice. Quanti di quegli 8.300 server verranno effettivamente messi in sicurezza nelle prossime settimane, e quanti resteranno online indefinitamente scoperti come capita spesso con questo tipo di infrastrutture dimenticate, è la domanda che Shadowserver continuerà a misurare con i suoi prossimi rilevamenti. Fonte: [bleepingcomputer.com](https://www.bleepingcomputer.com/news/security/over-8-300-gitea-servers-vulnerable-to-code-execution-attacks/).