30 секунд
BleepingComputer сообщило об активной эксплуатации CVE-2026-20896 в официальном Docker-образе Gitea. При затронутой конфигурации сервис доверял данным о пользователе от любого адреса, что позволяло обходить вход. В июльском сообщении указаны образы до 1.26.2 включительно и исправления 1.26.3–1.26.4. Число доступных в интернете серверов Gitea не равно числу уязвимых установок: их фактические настройки различаются и требуют отдельного учёта.
Подробнее
Уязвимость CVE-2026-20896 в июльском сообщении BleepingComputer относится к официальным Docker-образам Gitea до 1.26.2 включительно при затронутой конфигурации. Сервис мог принимать сведения о личности пользователя из заголовков обратного прокси от любого IP-адреса. При прямой доступности контейнера это создавало возможность выдать себя за другого пользователя, включая администратора.
Источник указывает на активную эксплуатацию со ссылкой на исследователя Sysdig и предупреждение сингапурского ведомства CSA. Около 6200 доступных в интернете экземпляров Gitea приводятся как общий наблюдаемый масштаб; сколько из них уязвимы, в публикации не установлено.
Gitea выпустила 1.26.3 и 1.26.4. В материале рекомендовано сразу переходить на 1.26.4: она также исправляла дополнительную проблему и регрессию предыдущего выпуска. Если обновление невозможно, CSA предлагало ограничить доверенные прокси конкретными адресами и проверить журналы доступа на подозрительные действия. Это рекомендации из июльского сообщения, а не сведения о новейшей версии на любую дату.
Что это значит
Образ несёт не только программу, но и доверие
Ошибка в Docker-образе Gitea показывает, что безопасность развёртывания зависит от того, кому сервис разрешает подтверждать личность пользователя. Заголовок от доверенного прокси и такой же заголовок от прямого клиента имеют разное происхождение. Конфигурация стирала эту границу.
Поэтому количество видимых серверов помогает описать поверхность распространения, но не доказывает наличие ошибки у каждого из них. Для вывода о конкретной установке важны затронутая версия, способ доступа к контейнеру и настройка доверия; одно название Gitea этих условий не определяет.
