Des milliers d'équipes qui auto-hébergent Gitea pour garder le contrôle de leur code découvrent que leur forge est vulnérable à une exécution de code à distance. Le vrai problème : personne ne patch les outils "périphériques".

8 300 forges Gitea exposées à une RCE : votre code source est-il dans la liste ?

Ce qu'il se passe

Gitea - la forge Git open source légère, alternative à GitHub pour ceux qui veulent garder leur code sous contrôle - est touchée par une vulnérabilité d'exécution de code à distance. Le détail qui fait froid dans le dos : en scannant Internet, les chercheurs ont identifié plus de 8 300 instances Gitea vulnérables encore exposées et non corrigées.

Une forge Git compromise, c'est le scénario cauchemar côté supply chain : l'attaquant accède à tout le code source hébergé, aux clés de déploiement, aux secrets stockés dans les dépôts, aux webhooks connectés aux pipelines CI/CD. La porte d'entrée vers l'ensemble de l'infrastructure de développement.

Le syndrome de la forge oubliée

Gitea est populaire précisément parce qu'il est simple à installer et léger à faire tourner. Conséquence directe : beaucoup d'instances sont installées en quelques minutes, puis oubliées - accessibles depuis Internet, non mises à jour, sans monitoring de sécurité.

Le profil type de l'instance vulnérable : installée il y a plusieurs mois pour un projet, l'équipe a continué à travailler dessus, mais personne n'a intégré les mises à jour de sécurité Gitea dans le cycle de maintenance - parce que "c'est juste un outil de versionning".

Les risques concrets pour une forge compromise :

• Exfiltration complète du code source (y compris dépôts privés)
• Injection de backdoors dans le code ou les pipelines CI/CD
• Vol de secrets stockés dans des fichiers de config ou des variables d'environnement
• Accès aux clés SSH des déployeurs enregistrées dans l'interface

Que faire maintenant

À faire maintenant

1. Vérifiez votre version Gitea : interface admin → À propos, ou gitea -version. La version corrigée est indiquée dans les notes de release Gitea sur GitHub.
2. Mettez à jour sans attendre - téléchargez la dernière version stable, remplacez le binaire, redémarrez le service.
3. Évaluez l'exposition : votre instance répond-elle depuis Internet ? Si oui et que ce n'est pas indispensable, passez-la derrière un VPN ou une règle firewall IP.
4. Scannez vos secrets exposés : truffleHog ou gitleaks pour détecter des credentials dans l'historique de vos dépôts.
5. Vérifiez vos webhooks et intégrations CI : un attaquant qui a eu accès peut avoir ajouté des webhooks discrets - faites l'inventaire complet.
6. Mettez en place une veille de sécurité : abonnez-vous aux releases Gitea sur GitHub (Watch → Releases only) pour ne plus rater un patch critique.