Självhostad Git bevisade precis sitt suveränitetspris

Elva sekunder räckte

CVE-2026-60004 är en kodinjektionsbrist i Gitea, det självhostade alternativet till GitHub som används av team som föredrar att hålla sin källkod på egna servrar i stället för på en amerikanskägd plattform. Forskaren Shai Rod, känd som NightRang3r, upptäckte att en angripare med enbart vanlig skrivbehörighet till ett repository kunde skicka en skadlig patch till Giteas diffpatch-API-slutpunkt, plantera en körbar Git-hook och köra godtyckliga skalkommandon som Giteas tjänstekonto. Med Giteas som standard aktiverade öppna registrering kräver den åtkomsten inte mer än en vanlig kontoregistrering.

I en dokumenterad attack flaggade en hostingleverantör ovanlig aktivitet på en föråldrad Gitea-instans. En angripare hade registrerat ett konto, skapat ett repository, utlöst utnyttjandekedjan, skrivit ett konceptbevis tillbaka till en Git-gren, laddat ner en skalladdare och installerat en kryptogrävardroppare som förbrukade 70 procent av serverns processorkapacitet, allt på omkring elva sekunder. Ingen beständig mekanism installerades; nyttolasten försvann vid nästa containeromstart, men exponeringsfönstret stängdes bara för att någon höll koll.

Tidslinjen som borde oroa varje självhostare

Det som gör detta fall till en varning snarare än rutinmässiga patchnyheter är hur lite tid som skilde en tillgänglig lösning från verkligt utnyttjande i stor skala.

Mindre än en månad gick mellan en offentlig lösning och bekräftat utnyttjande, och de instanser som fortfarande drabbades var just de som inte hade tillämpat en patch som funnits offentligt i veckor. Det tredagarsfönster CISA gav federala myndigheter är ingen byråkratisk formalitet; det speglar hur snabbt en känd, åtgärdad brist blir ett aktivt vapen så snart angripare märker att opatchade mål fortfarande finns kvar.

Varför Europa över huvud taget valde den här sortens verktyg

Gitea blev inte populärt hos europeiska organisationer av en slump. Under tryck från NIS2, dataresidensregler och en bredare strävan att minska beroendet av amerikanskägda molnplattformar valde många medelstora EU-företag och myndigheter medvetet självhostad Git, just så att deras källkod, autentiseringsuppgifter och CI-pipelines aldrig rör GitHub, Microsoft eller någon annan amerikanskt kontrollerad tjänst. Det är ett legitimt och ofta välmotiverat suveränitetsbeslut, och ingenting i den här sårbarheten ändrar den underliggande logiken i att vilja ha sin egen kod på infrastruktur man själv kontrollerar.

Det som ändras är prislappen som följer med det beslutet. En hanterad plattform absorberar patchövervakning, härdning av standardkonfigurationer och incidenthantering som en del av det en kund betalar för. En självhostad instans flyttar allt det till vilket internt team som en gång satte upp den, ofta för flera år sedan, ibland utan att någon längre minns om öppen registrering någonsin stängdes av.

Notan för suveränitet förfaller i patchfönster

Den praktiska lösningen här är inte att överge självhostning. Giteas egen vägledning för denna brist är konkret och omedelbar: inaktivera öppen registrering genom att sätta DISABLE_REGISTRATION till true, kräv e-postbekräftelse för varje kontoskapande som förblir öppet, stäng av oanvänd OpenID-registrering, och kräv autentisering innan någon får bläddra på sidor eller anropa API:et. Varje organisation som kör Gitea, eller en jämförbar självhostad plattform, bör kontrollera dessa fyra inställningar redan idag, inte efter nästa CVE.

Den större läxan handlar om hur suveränitetsbeslut budgeteras. Att välja självhostning av dataresidens- eller oberoendeskäl är ett verkligt, försvarbart beslut, men det är bara komplett om det åtföljs av ett åtagande för det löpande operativa säkerhetsarbete en hanterad leverantör annars automatiskt skulle ha utfört. En patch som låg otillämpad i en månad på en internetexponerad instans med öppen registrering är inget misslyckande i suveränitetsbeslutet; det är ett misslyckande att räkna in vad det beslutet faktiskt kostar att driva säkert.

Läs vidare: NCSC kräver nödstopp för AI-agenter  |  Kör du Zimbra? Den 21 augusti ändrade din risk