CCCSがGiteaの脆弱性勧告を更新、1.27.1未満の利用確認を

カナダ サイバーセキュリティセンター(CCCS)は2026年10月20日付で、Giteaのセキュリティ勧告を更新しました。勧告ではGitea 1.27.1未満を影響対象とし、実環境での悪用に関する情報も示しています。利用企業は、稼働中の版と参照先のリリース情報を照合する必要があります。

対象は1.27.1未満、悪用情報も確認を

更新された勧告の番号はAV26-845です。初回公表日は2026年8月25日で、今回初めて公表された問題ではありません。勧告は2026年8月14日時点の影響範囲として、Gitea 1.27.1未満を挙げています。

CCCSによると、脆弱性の識別番号CVE-2026-20896について、公開情報で実環境での悪用が報告されています。また、米国のCISAは2026年8月25日、別の識別番号であるCVE-2026-60004を、悪用が確認された脆弱性をまとめるKEVに登録しました。

この2件は、識別番号と根拠となる情報を分けて管理するのが重要です。社内の対応記録でも、実環境での悪用報告とKEV登録をひとまとめにせず、どちらの情報を確認したか残してください。

勧告の参照情報には、diffpatchによるGitフック設置を介した遠隔コード実行の解説もあります。遠隔コード実行とは、離れた場所からコードを実行される問題です。ただし、提示された情報だけで、この解説と各CVEの対応関係を決めつけることはできません。

参照先は1.27.1と1.27.2、番号だけで更新先を決めない

CCCSは利用者と管理者に対し、勧告に掲載したリンク先を確認し、必要な更新が提供され次第、適用するよう推奨しています。参照先には、Gitea 1.27.1と1.27.2のリリース情報が掲載されています。

影響対象の境界が1.27.1未満だからといって、今回の確認を「1.27.1にすれば完了」と処理しないことが大切です。両方のリリース情報を読み、自社の稼働版に必要な更新を照合してください。提供された事実には、各CVEと修正版の詳しい対応関係は示されていません。

日本での提供は発表には書かれていません。日本向けの提供時期や日本語対応についても、今回の勧告からは判断できません。

影響する会社・しない会社

• 影響する: Gitea 1.27.1未満を利用している会社です。勧告が示す影響範囲に該当するため、必要な更新の確認対象になります。
• 影響する: Giteaを利用しているものの、稼働版を把握できていない会社は、まず版の確認が必要です。影響の有無は、その確認後に判断します。
• 影響しない: Giteaを利用していない会社は、この勧告に基づくGiteaの更新作業の対象ではありません。
• 影響しない: 1.27.1以降は、勧告に記された「1.27.1未満」という対象範囲には入りません。ただし、これだけで他の脆弱性もないと判断することはできません。

情シスが今日やること

1. 今日中に、開発環境の管理者や運用委託先へGiteaの利用有無と稼働版の確認を依頼します。管理画面の具体的な確認箇所は発表には書かれていないため、確認方法も併せて報告してもらいます。
2. CCCSの勧告AV26-845を開き、参照先のGitea 1.27.1と1.27.2のリリース情報を確認します。対象環境、現在の版、必要と判断した更新を対応記録にまとめます。
3. 1.27.1未満の環境があれば、更新判断を待たず、まず運用責任者とセキュリティ担当に対象版と悪用情報を共有します。2件のCVEは別々に記録し、確認した根拠を添えます。
4. 更新担当者と作業日を決め、必要な更新が提供されている場合は適用を進めます。CCCSの推奨は提供され次第の適用です。発表には具体的な期限がないため、社内では確認日と作業予定日を明示して管理してください。