Es gibt Sicherheitsmeldungen, die man in Ruhe abheften kann. Und es gibt solche, bei denen du dein Homelab besser noch vor dem ersten Kaffee anfasst. Diese hier gehört in die zweite Kategorie.
Die US-Cybersicherheitsbehörde CISA hat die Gitea-Schwachstelle CVE-2026-60004 am 25. August in ihren KEV-Katalog aufgenommen — die Liste der Lücken, die nachweislich gerade jetzt von Angreifern benutzt werden. US-Bundesbehörden müssen bis zum 28. August gepatcht haben. Für dein privates Git zu Hause gilt: am besten heute.
Ein Haken, der zu viel darf
Gitea ist der schlanke, selbst gehostete GitHub-Ersatz, der in unzähligen Homelabs auf einem Mini-PC oder in einem LXC-Container läuft. Genau das macht die Lücke so unangenehm: Diese Server stehen oft jahrelang unbeachtet in der Ecke und werden selten aktualisiert.
Der Fehler steckt im sogenannten diffpatch-Endpunkt. Vereinfacht gesagt: Wer Schreibrechte auf irgendein Repository hat — und sei es sein eigenes, frisch angelegtes — kann darüber einen Git-Hook platzieren. Git-Hooks sind kleine Skripte, die Git bei bestimmten Ereignissen automatisch ausführt. Und sie laufen mit den Rechten des Gitea-Dienstkontos.
Damit ist die Kette komplett: Repository anlegen, Hook einschleusen, beliebige Shell-Befehle ausführen. Die Bewertung von 9,8 von 10 Punkten auf der CVSS-Skala ist deshalb keine Übertreibung.
Was die Angreifer damit machen
Die Berichte aus der Praxis sind unspektakulär und genau deshalb gefährlich. Ein Entwickler beschrieb öffentlich, wie eine selbst gehostete Gitea-Instanz seiner Organisation übernommen wurde — um darauf Krypto-Mining-Software laufen zu lassen. Kein Datendiebstahl, kein Erpresserbrief, nur ein Server, der plötzlich dauerhaft unter Volllast läuft und die Stromrechnung nach oben treibt.
Besonders bitter: Der Angriff kam nicht von einem gezielt vorgehenden Profi, sondern von einem automatisierten Scanner. Der legt sich selbst ein Konto an, erstellt ein eigenes Repository und zieht die Kette durch. Wer die offene Registrierung aktiviert hat und weder E-Mail-Bestätigung noch CAPTCHA verlangt, macht es dieser Automatik besonders leicht.
Der Patch liegt seit Juli bereit
Das ist der Teil, der wehtut: Die Gitea-Entwickler haben das Problem bereits Ende Juli mit Version 1.27.1 behoben. Die Lücke wird jetzt ausgenutzt, weil zu viele Instanzen einfach nicht aktualisiert wurden — und weil zur Veröffentlichung ein funktionierender Beispiel-Exploit mitgeliefert wurde.
Deine Checkliste für die nächsten zehn Minuten
- Version prüfen: In Gitea unten auf jeder Seite oder über
gitea --versionauf der Konsole. Alles unter 1.27.1 ist verwundbar. - Updaten: Bei Docker das Image-Tag hochziehen und den Container neu starten. Bei einer Paketinstallation die Binary tauschen und den Dienst neu starten. Vorher ein Backup der Datenbank und des
gitea-Verzeichnisses ziehen. - Registrierung dichtmachen: Steht
DISABLE_REGISTRATIONin deinerapp.iniauftrue? Wenn du der einzige Nutzer bist, gehört sie ausgeschaltet. - Nachsehen, ob schon etwas passiert ist: Unbekannte Benutzerkonten, frisch angelegte Repositories, ungewöhnliche Prozesse mit hoher CPU-Last. Und ein Blick in
.git/hooks/deiner Repositories schadet nie. - Geheimnisse tauschen: Falls dein Server erreichbar war und du Zweifel hast — Datenbankpasswort, OAuth-Secrets und Zugangstoken erneuern. Genau diese Daten sind das erste Ziel.
Und wenn Gitea gar nicht aus dem Netz erreichbar ist?
Dann bist du deutlich entspannter — aber nicht raus. Ein Angreifer im lokalen Netz oder ein kompromittiertes Gerät im WLAN reicht theoretisch aus. Der Aufwand für das Update ist so gering, dass sich die Diskussion nicht lohnt.
Grundsätzlich gilt für selbst gehostete Dienste: Wer sie ins Internet stellt, übernimmt die Rolle des Administrators mit allem, was dazugehört. Ein automatischer Update-Mechanismus oder wenigstens eine Benachrichtigung bei neuen Releases ist kein Luxus, sondern Grundausstattung.