米国サイバーセキュリティ・インフラストラクチャー安全保障局（CISA）は、自ホストGitサービスで重大なコードインジェクション脆弱性が実際に悪用されていると発表した。この脆弱性はCVE‑2026‑60004として登録されており、認可されたユーザーがリポジトリへの書き込み権限を持つことで任意のシェルコマンドを実行できる。

この脆弱性は、diffpatch APIエンドポイントに悪意あるパッチを送信し、Gitフックを設置してサービスアカウントの権限でコマンドを実行させることができる。デフォルト設定では登録機能が有効なため、認証を行わない攻撃者がアカウントを作成しリポジトリを開くことで、認証なしに同脆弱性をトリガーできる。ベンダーは問題解決のために7月27日にバージョン1.27.1をリリースし、Shadowserverは現在オンラインの約5,000インスタンスを監視している。

CISAは、連邦民間機関に対し、8月28日までにこの脆弱性をパッチ適用するよう3日間の期限を設けて義務付け、攻撃者がすでにこれらのサーバで暗号通貨マイニングソフトウェアを実行していると報告した。ただし、どれほどがハニーポットであるか、あるいは既に保護されているかは不明だ。専門家は、リスクベースの脆弱性管理によりKEVカタログのすべての重大な脆弱性を優先的に対処することを推奨している。