Gitea 원격 코드 실행 취약점 악용 확인, 자체 구축 서버 긴급 점검 필요

오늘의 핵심

CISA가 자체 구축형 Git 서비스 Gitea의 CVE-2026-60004를 실제 악용 취약점으로 분류했다. 저장소 쓰기 권한을 발판으로 서버 명령을 실행할 수 있어, 국내 개발 조직도 1.27.1 이상 업데이트와 침해 흔적 점검이 필요하다.

확인된 사실

• CISA는 Gitea의 CVE-2026-60004가 실제 공격에 악용되고 있다고 판단해 알려진 실제 악용 취약점 목록에 추가했다. 근거 [1] [2]
• 이 취약점은 저장소 쓰기 권한을 가진 공격자가 diffpatch API를 통해 실행 가능한 Git 훅을 심고, Gitea 서비스 계정 권한으로 셸 명령을 실행하게 할 수 있다. 근거 [1]
• Gitea의 기본 공개 가입 설정을 유지한 인터넷 노출 서버에서는 외부인이 계정과 저장소를 만들어 공격에 필요한 권한을 확보할 가능성이 있다. 근거 [1]
• 취약점은 Gitea 1.27.1에서 수정됐으므로 이전 버전을 운영하는 자체 구축 환경은 업데이트 대상이다. 근거 [1] [2]
• 소스코드 관리 서버가 침해되면 해당 서버가 접근할 수 있는 저장소와 개발·배포 환경까지 조사 범위가 넓어질 수 있다. 근거 [1] [2]

왜 중요한가

• Gitea는 소스코드와 개발 계정을 집중 관리하므로 서버 권한 탈취가 단일 애플리케이션 장애를 넘어 개발 공급망 위험으로 이어질 수 있다.
• 공개 가입이 활성화된 기본 구성에서는 기존 계정 탈취 없이도 공격 조건이 갖춰질 가능성이 있어 외부 노출 서버의 우선순위가 높다.
• 패치만 적용하면 과거 침해 여부는 확인되지 않으므로 업데이트와 로그·자격증명 점검을 함께 진행해야 한다.

inxight의 관점

• 이번 사안은 일반 웹서버 패치가 아니라 코드 저장소에서 배포 환경으로 이어지는 신뢰 경로를 점검하는 문제다.
• 운영팀은 자산 목록에서 Gitea 버전만 확인하지 말고 공개 가입, 외부 노출, 저장소 생성 권한, CI/CD 비밀정보 연결 여부를 함께 분류해야 한다.
• 취약 기간에 외부로 노출됐던 서버는 패치 완료 여부와 별개로 잠재적 침해 자산으로 다루는 편이 안전하다.

실무 체크리스트

• 모든 자체 구축 Gitea 인스턴스와 버전을 식별하고 1.27.1 이상으로 업데이트한다.
• 업무상 필요하지 않다면 공개 회원가입과 임의 저장소 생성을 비활성화하고 외부 접근을 제한한다.
• 취약 기간의 신규 계정·저장소 생성, diffpatch API 요청, Gitea 서비스 계정의 비정상 자식 프로세스와 외부 통신을 점검한다.
• 침해 정황이 발견되면 Gitea가 접근할 수 있었던 데이터베이스 계정, API 토큰, SSH 배포 키와 CI/CD 비밀정보를 교체하고 저장소 변경 이력을 검토한다.