何千ものチームが Gitea をセルフホストしてコードの管理を行っていますが、彼らのフォージがリモートコード実行の脆弱性にさらされていることが判明しました。真の問題：誰も「周辺ツール」をパッチしていません。

8,300件のGitea鍛冶場がRCEの脆弱性にさらされている：ソースコードはリストに含まれていますか？

発生していること

Gitea - GitHubの軽量な代替となるオープンソースのGit鍛冶場（forge）は、リモートコード実行（RCE）の脆弱性に見舞われています。恐ろしいことに、インターネットをスキャンした研究者らは、8,300以上の脆弱なGiteaインスタンスが未だに露出し、修正されていないことを特定しました。

鍛冶場が侵害されると、サプライチェーン攻撃の悪夢のシナリオに直面します。攻撃者は、ホストされているすべてのソースコード、デプロイメントキー、リポジトリに保存されたシークレット、CI/CDパイプラインに接続されたWebhookにアクセスできてしまいます。開発インフラ全体への入り口が開かれてしまうのです。

忘れられた鍛冶場の症候群

Giteaは、その簡単なインストールと軽量な動作ゆえに人気があります。その結果、多くのインスタンスが数分でインストールされ、忘れ去られています。インターネットに公開されたまま、更新されず、セキュリティ監視も行われていません。

脆弱なインスタンスの典型的なプロファイル：数ヶ月前にプロジェクト用にインストールされ、チームは引き続き作業を続けていますが、誰もセキュリティアップデートをメンテナンスサイクルに組み込んでいません。「ただのバージョン管理ツールだから」という理由で。

侵害された鍛冶場による具体的なリスク：

• ソースコードの完全な流出（プライベートリポジトリを含む）
• コードやCI/CDパイプラインへのバックドアの注入
• 設定ファイルや環境変数に保存されたシークレットの窃取
• インターフェースに登録されたデプロイヤーのSSHキーへのアクセス

今すぐすべきこと

今すぐ実施すべきこと

1. Giteaのバージョンを確認：管理画面 → [About]（概要）から、または gitea -version コマンドで確認。修正済みバージョンはGitHubのGiteaリリースノートに記載されています。
2. すぐにアップデート：最新の安定版をダウンロードし、バイナリを置き換えてサービスを再起動します。
3. 露出を評価：あなたのインスタンスはインターネットに公開されていますか？必要ない場合はVPNやファイアウォールIPルールの背後に移動させましょう。
4. 露出したシークレットをスキャン：truffleHog や gitleaks を使用して、リポジトリの履歴に資格情報が含まれていないか検出します。
5. WebhookとCI統合を確認：アクセスした攻撃者が目立たないWebhookを追加している可能性があります。完全な在庫確認を行いましょう。
6. セキュリティ監視を導入：GitHubのリリース通知を購読し（Watch → Releases only）、クリティカルなパッチを見逃さないようにしましょう。