Gogs

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma nova vulnerabilidade crítica no seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). A falha, identificada como CVE-2025-8110, permite a execução remota de código (RCE) não autenticada por meio da API PutContents, comprometendo servidores Gogs. Com um índice de severidade de 8.7/10, a CISA ordenou que as agências federais apliquem um patch até 2 de fevereiro de 2026, ou cessem o uso do software vulnerável. O Gogs é um serviço de Git auto-hospedado, frequentemente utilizado em ambientes de desenvolvimento interno e redes isoladas. Pesquisadores da Wiz Research relataram que mais de 700 servidores Gogs já foram comprometidos, com ataques em andamento desde novembro de 2025. A correção disponível no GitHub implementa validação de caminho ciente de symlink em todos os pontos de entrada de escrita de arquivos, mitigando a vulnerabilidade. A situação destaca a necessidade urgente de atualização por parte das organizações que utilizam essa plataforma, uma vez que mais de 1.400 servidores Gogs estão expostos online.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre a exploração ativa de uma vulnerabilidade de alta severidade no Gogs, identificada como CVE-2025-8110, com uma pontuação CVSS de 8.7. Essa falha, relacionada a uma vulnerabilidade de travessia de caminho no editor de arquivos do repositório, pode permitir a execução de código malicioso. A CISA destacou que a vulnerabilidade permite que atacantes contornem proteções existentes, criando um repositório Git e utilizando a API PutContents para escrever dados em um link simbólico que aponta para um arquivo sensível, resultando na sobrescrição de arquivos de configuração do Git. A Wiz, empresa de segurança que descobriu a exploração em ataques zero-day, identificou 700 instâncias do Gogs comprometidas. Embora não existam patches disponíveis no momento, alterações de código necessárias foram feitas e aguardam a construção da nova imagem. Enquanto isso, os usuários do Gogs são aconselhados a desativar o registro aberto padrão e restringir o acesso ao servidor. Agências do governo dos EUA têm até 2 de fevereiro de 2026 para aplicar as mitig ações necessárias.

Uma vulnerabilidade de alta severidade, identificada como CVE-2025-8110, está sendo ativamente explorada em mais de 700 instâncias do Gogs, um serviço de Git auto-hospedado. Com uma pontuação CVSS de 8.7, a falha permite a execução local de código devido a um manuseio inadequado de links simbólicos na API de atualização de arquivos. A vulnerabilidade foi descoberta acidentalmente em julho de 2025 durante uma investigação de infecção por malware. Os atacantes podem explorar essa falha para sobrescrever arquivos críticos no servidor e obter acesso SSH. Além disso, a Wiz, empresa de segurança em nuvem, observou que os atacantes deixaram repositórios comprometidos visíveis, indicando uma campanha de estilo ‘smash-and-grab’. Com cerca de 1.400 instâncias expostas, é crucial que os usuários desativem o registro aberto e limitem a exposição à internet. A Wiz também alertou sobre o uso de Tokens de Acesso Pessoal do GitHub como pontos de entrada para acessar ambientes de nuvem, destacando a necessidade de vigilância contínua e ações corretivas imediatas.