Milhares de equipes que auto-hospedam Gitea para manter o controle de seu código descobrem que sua forja é vulnerável a execução remota de código. O verdadeiro problema: ninguém aplica patches em ferramentas "periféricas".

8 300 forjas Gitea expostas a uma RCE: seu código-fonte está na lista?

O que está acontecendo

Gitea — a forja Git open source leve, alternativa ao GitHub para quem quer manter o código sob controle — está vulnerável a uma falha de execução remota de código. O detalhe assustador: ao escanear a Internet, pesquisadores identificaram mais de 8.300 instâncias vulneráveis do Gitea ainda expostas e não corrigidas.

Uma forja Git comprometida é o cenário de pesadelo para a cadeia de suprimentos: o atacante obtém acesso a todo o código-fonte hospedado, às chaves de implantação, aos segredos armazenados nos repositórios e aos webhooks conectados aos pipelines CI/CD. A porta de entrada para toda a infraestrutura de desenvolvimento.

A síndrome da forja esquecida

O Gitea é popular justamente por ser simples de instalar e leve de executar. Consequência direta: muitas instâncias são instaladas em poucos minutos e depois esquecidas — acessíveis pela Internet, sem atualizações e sem monitoramento de segurança.

O perfil típico da instância vulnerável: instalada há meses para um projeto, a equipe continuou trabalhando nela, mas ninguém integrou as atualizações de segurança do Gitea ao ciclo de manutenção — porque "é só uma ferramenta de versionamento".

Os riscos concretos de uma forja comprometida:

• Exfiltração completa do código-fonte (incluindo repositórios privados)
• Injeção de backdoors no código ou nos pipelines CI/CD
• Roubo de segredos armazenados em arquivos de configuração ou variáveis de ambiente
• Acesso às chaves SSH dos responsáveis por implantações registradas na interface

O que fazer agora

A fazer agora

1. Verifique sua versão do Gitea: interface de admin → Sobre, ou gitea -version. A versão corrigida está indicada nas notas de release do Gitea no GitHub.
2. Atualize sem demora — baixe a última versão estável, substitua o binário e reinicie o serviço.
3. Avalie a exposição: sua instância responde pela Internet? Se sim e não for indispensável, coloque-a atrás de um VPN ou regra de firewall por IP.
4. Escaneie segredos expostos: truffleHog ou gitleaks para detectar credenciais no histórico de seus repositórios.
5. Verifique seus webhooks e integrações CI: um atacante que obteve acesso pode ter adicionado webhooks discretos — faça um inventário completo.
6. Estabeleça uma rotina de segurança: assine as releases do Gitea no GitHub (Watch → Releases only) para não perder mais nenhum patch crítico.