Gitea CVE-2026-60004 — CISA Menetapkan Deadline Remediasi 28 Agustus 2026 untuk Instansi Federal AS
Kalau kamu pengelola server Gitea, baik buat kebutuhan pribadi maupun infrastruktur perusahaan, ada kabar yang wajib banget kamu perhatikan minggu ini. Gitea CVE-2026-60004 — CISA menetapkan deadline remediasi 28 Agustus 2026 untuk instansi federal AS, dan status ini bukan sekadar peringatan biasa, melainkan tanda bahwa celah keamanan ini sudah benar-benar dieksploitasi di dunia nyata, bukan lagi sebatas potensi ancaman teoretis di atas kertas.
Duduk Perkara di Balik Kerentanan Gitea Ini
Gitea sendiri merupakan platform self-hosted Git berbasis open source yang cukup populer sebagai alternatif GitHub atau GitLab, banyak dipakai developer maupun perusahaan yang ingin punya kendali penuh atas repositori kode mereka sendiri.
Masalahnya, celah bernama CVE-2026-60004 ini tergolong kerentanan code injection dengan skor CVSS 9,8 dari skala maksimal 10, yang berarti masuk kategori kritis dan sangat berbahaya. Menurut penjelasan CISA, celah ini muncul karena endpoint diffpatch API pada Gitea bisa disalahgunakan penyerang yang punya akses tulis ke repositori untuk mengirim patch berisi kode jahat.
Patch tersebut kemudian menanam Git hook yang bisa dieksekusi otomatis, sehingga penyerang bisa menjalankan perintah shell sembarangan dengan hak akses setara akun layanan Gitea itu sendiri.
Alur Serangan yang Membuat Celah Ini Berbahaya
Yang bikin celah ini terasa lebih mengkhawatirkan dibanding kerentanan pada umumnya adalah syarat eksploitasinya cukup ringan. Penyerang tidak butuh akses administrator, cukup bermodal hak akses tulis ke sebuah repositori saja, level akses yang sebenarnya lumrah dimiliki kontributor biasa.
Kondisi ini makin runyam karena Gitea secara default mengaktifkan fitur pendaftaran akun terbuka, sehingga secara teori penyerang dari luar bisa saja membuat akun baru, membuat repositori sendiri, lalu langsung mengeksploitasi celah ini tanpa perlu kredensial yang sudah ada sebelumnya.
Kronologi Penemuan Hingga Eksploitasi Nyata
Peneliti keamanan yang dikenal dengan nama panggilan NightRang3r dilaporkan sebagai pihak yang menemukan sekaligus melaporkan celah ini kepada tim pengembang Gitea. Sebagai respons, tim Gitea merilis versi 1.27.1 pada 27 Juli 2026, disusul publikasi advisory keamanan resmi sehari setelahnya.
Awalnya belum ada laporan eksploitasi nyata di lapangan, sampai akhirnya sebuah insiden terungkap lewat tulisan seorang full-stack developer di platform blog asal Rusia, Habr, yang menceritakan server Gitea miliknya berhasil disusupi dan dijadikan sarang perangkat lunak penambang kripto ilegal alias crypto miner.
Insiden itu awalnya terdeteksi setelah penyedia hosting mengirim notifikasi karena beban prosesor server tersebut terus-menerus berada di atas 70 persen dalam waktu lama, jauh melampaui batas wajar penggunaan normal.
Respons Resmi CISA dan Ketentuan Batas Waktunya
Menyusul temuan eksploitasi tersebut, CISA resmi memasukkan CVE-2026-60004 ke dalam katalog Known Exploited Vulnerabilities atau KEV pada 25 Agustus 2026.
Begitu masuk katalog ini, seluruh instansi Federal Civilian Executive Branch alias FCEB di Amerika Serikat diwajibkan menuntaskan proses remediasi paling lambat 28 Agustus 2026, sesuai ketentuan dalam Binding Operational Directive atau BOD 26-04 yang mengatur prioritas penanganan kerentanan berdasarkan tingkat risiko.
Rentang waktu tiga hari ini terbilang sangat singkat dibanding kerentanan pada umumnya, menandakan betapa seriusnya tingkat urgensi yang ditetapkan otoritas keamanan siber Amerika Serikat tersebut.
Langkah Mitigasi yang Perlu Segera Dilakukan
Buat kamu yang mengelola instance Gitea sendiri, entah untuk keperluan instansi pemerintahan atau sekadar proyek pribadi, ada beberapa langkah konkret yang sebaiknya segera dijalankan supaya server tidak menjadi korban berikutnya.
Pembaruan Versi dan Pemeriksaan Server
Langkah paling mendasar tentu saja segera memperbarui instance Gitea ke versi teraman yang tersedia saat ini, yaitu versi 1.27.2. Jangan berhenti di situ saja, karena penting juga untuk melakukan pemeriksaan forensik guna memastikan server belum sempat disusupi sebelum proses pembaruan dilakukan, mengingat ada kemungkinan celah ini sudah dieksploitasi diam-diam sebelum kamu sempat menyadarinya.
CISA sendiri turut mengarahkan agar organisasi yang menjalankan instance Gitea berbasis cloud mengikuti panduan BOD 26-04 yang relevan untuk layanan cloud, atau bahkan menghentikan penggunaan produk tersebut sepenuhnya apabila belum tersedia mitigasi yang memadai.
Mengurangi Paparan dan Risiko Eksternal
Selain memperbarui versi, ada baiknya juga meninjau ulang kebijakan pendaftaran akun terbuka pada instance Gitea milikmu, karena fitur ini justru memperbesar permukaan serangan bagi pihak luar yang tidak berkepentingan.
Membatasi siapa saja yang bisa mendaftar dan memiliki akses tulis ke repositori bisa jadi langkah pencegahan tambahan yang cukup efektif, terlepas dari kewajiban memperbarui versi perangkat lunaknya.
Lembaga pemantau keamanan independen bernama Shadowserver bahkan mencatat ada hampir lima ribu instance Gitea yang masih terekspos ke internet publik, meski belum bisa dipastikan berapa banyak di antaranya yang sudah diamankan atau justru sekadar honeypot untuk keperluan riset.
Dampak Lebih Luas bagi Ekosistem DevOps
Kasus ini sekali lagi menegaskan bahwa platform pengelolaan kode sumber, betapapun terlihat sepele fungsinya, tetap menjadi target empuk karena posisinya yang krusial dalam rantai pengembangan perangkat lunak.
Begitu penyerang berhasil menguasai server semacam ini, dampaknya bisa merembet jauh melampaui satu repositori saja, mulai dari pencurian kode sumber rahasia, penyisipan backdoor ke dalam aplikasi produksi, sampai penyalahgunaan sumber daya server untuk aktivitas ilegal seperti penambangan kripto.
Karena itulah, insiden ini sebaiknya dijadikan pengingat bagi setiap tim IT dan DevOps untuk tidak menunda pembaruan keamanan, khususnya untuk perangkat lunak yang berperan sebagai fondasi infrastruktur pengembangan mereka sehari-hari.
Penutup
Melihat betapa cepatnya celah ini berpindah dari status "baru ditambal" menjadi "dieksploitasi aktif di lapangan", kasus Gitea CVE-2026-60004 — CISA menetapkan deadline remediasi 28 Agustus 2026 untuk instansi federal AS ini pantas dijadikan pelajaran penting bagi siapa pun yang mengandalkan platform self-hosted untuk kebutuhan pengelolaan kode.
Jangan tunggu sampai server sendiri jadi korban berikutnya, segera lakukan pembaruan, audit keamanan, dan tinjau ulang kebijakan akses sebelum celah ini dimanfaatkan lebih luas oleh pihak yang tidak bertanggung jawab.