Błąd w Gogs do wersji 0.13.3 pozwala zwykłemu użytkownikowi przejąć serwer z kodem firmy. Wiz wykrył ponad 700 przejętych serwerów, CISA potwierdza ataki. Zaktualizuj do 0.13.4+, wyłącz otwartą rejestrację.
Ten alert jest dla zarządu, CTO i CFO firm, które trzymają kod źródłowy na własnym serwerze Gogs, często postawionym dawno temu przez programistę i od tamtej pory nieaktualizowanym. Werdykt: jeśli Wasz Gogs ma wersję 0.13.3 lub starszą, zaktualizuj go dziś do 0.13.4 lub nowszej, wyłącz otwartą rejestrację i sprawdź, czy nie ma śladów włamania, bo w internecie przejęto już ponad 700 takich serwerów.
Amerykańska agencja CISA 12 stycznia 2026 roku dopisała CVE-2025-8110 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy Gogs, lekkiego serwisu do przechowywania kodu w systemie Git, instalowanego samodzielnie na własnym serwerze. Użytkownik z możliwością tworzenia repozytoriów może przez funkcję zapisu plików w API nadpisać pliki poza repozytorium (dzięki dowiązaniu symbolicznemu) i uruchomić na serwerze dowolne polecenia.
Według firmy Wiz, która odkryła lukę podczas badania zainfekowanego serwera klienta, ataki trwały od lipca 2025 roku, a z około 1400 serwerów Gogs widocznych w internecie ponad 700 nosiło ślady przejęcia. Poprawka w wersji 0.13.4 ukazała się dopiero 23 stycznia 2026 roku, a termin CISA minął 2 lutego 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-8110 |
Data dodania do CISA KEV | 2026-01-12 |
Termin naprawy wg CISA | 2026-02-02 (21 dni od wpisu) |
Produkt | Gogs (samodzielnie hostowany serwis Git), funkcja PutContents w API, na Linuksie i Windows |
Wersje zagrożone | Wszystkie wersje do 0.13.3 włącznie. Warunek: konto użytkownika z prawem tworzenia repozytoriów (domyślnie włączone); przy otwartej rejestracji, domyślnej w tych wersjach, konto może założyć każdy z internetu |
Wersje bezpieczne | 0.13.4 (23 stycznia 2026) i nowsze; poprawka to zmiana 553707f3 (zgłoszenie #8082). Najnowsza stabilna wersja w chwili pisania: 0.14.3 (7 czerwca 2026) |
Typ podatności | Przejście po katalogach przez niewłaściwą obsługę dowiązań symbolicznych, prowadzące do wykonania kodu; CWE-22. Obejście wcześniejszej poprawki na CVE-2024-55947 |
Ocena CVSS | NVD: 8.8 WYSOKA (CVSS 3.1). Zgłaszający: 8.7 WYSOKA (CVSS 4.0, z oznaczeniem ataku jako wykorzystywanego i automatyzowalnego). Atak przez sieć, niska złożoność, wymagane niskie uprawnienia, bez udziału innych użytkowników |
Wyobraź sobie archiwum z katalogiem kartkowym, w którym każdy klient ma własną szufladę i może w niej wymieniać swoje dokumenty. Ktoś zauważa, że do szuflady można włożyć kartę z napisem „właściwy dokument leży w sejfie dyrekcji”. Gdy potem prosi archiwistę o „podmianę dokumentu z tej karty”, archiwista idzie posłusznie do sejfu dyrekcji i wkłada tam to, co dostał. Wcześniej archiwum wprowadziło zasadę, że nie przyjmuje zleceń z adresem spoza szuflady, ale nikt nie pomyślał o kartach odsyłających.
Tak działa ta luka. Git pozwala zapisać w repozytorium dowiązanie symboliczne wskazujące na plik poza nim. Gogs przez API zapisywał dane pod wskazaną ścieżką, nie sprawdzając, że to dowiązanie prowadzi poza repozytorium. Według Wiz napastnik nadpisywał w ten sposób plik konfiguracyjny Gita i zmuszał serwer do uruchomienia swoich poleceń. Na serwerze z kodem firmy leży zwykle wszystko: kod produktów, historia zmian, a często też hasła i klucze wpisane kiedyś do plików konfiguracyjnych.
💡 Git to system przechowywania kodu z pełną historią zmian; Gogs to strona internetowa do obsługi repozytoriów Git, instalowana na własnym serwerze. Dowiązanie symboliczne (symlink) to „skrót” wskazujący na inny plik w dowolnym miejscu dysku. Przejście po katalogach (path traversal) to wyjście poza folder, do którego program miał się ograniczyć. Otwarta rejestracja oznacza, że każdy może sam założyć konto. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Ktoś zakłada konto na serwerze z otwartą rejestracją | Dostaje własne, puste repozytorium | Może przejąć cały serwer |
Zapis pliku przez API | Zmienia plik w repozytorium użytkownika | Przez dowiązanie nadpisuje plik konfiguracyjny poza repozytorium |
Konto byłego podwykonawcy | Widzi projekty, do których miał dostęp | Wystarcza do uruchomienia poleceń na serwerze |
Hasła w plikach konfiguracyjnych repozytoriów | Czytają je tylko uprawnieni programiści | Napastnik z dostępem do serwera czyta repozytoria wszystkich projektów |
Poprawka na CVE-2024-55947 | Miała zamknąć zapis poza repozytorium | Omijana przez dowiązania symboliczne |
źródło: Pexels, Tima MiroshnichenkoPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na łańcuchu opisanym przez Wiz. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga konta, ale przy otwartej rejestracji napastnik zakłada je sam. Wiz zaobserwował na przejętych serwerach repozytoria o losowych, 8-znakowych nazwach, co wskazuje na zautomatyzowaną kampanię; CISA w swojej ocenie uznała natomiast atak za nieautomatyzowalny.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wyszukanie celu | T+0 min | Skanowanie internetu w poszukiwaniu serwerów Gogs | Lista serwerów, często z otwartą rejestracją |
2. Konto | T+1 min | Rejestracja nowego konta lub użycie przejętego | Uprawnienia zwykłego użytkownika |
3. Przygotowanie | T+2 min | Utworzenie repozytorium z losową nazwą i dowiązaniem symbolicznym do pliku konfiguracyjnego | „Karta odsyłająca” gotowa |
4. Wykonanie kodu | T+3 do 5 min | Zapis przez API PutContents, nadpisanie konfiguracji Gita (sshCommand) | Serwer wykonuje polecenia napastnika |
5. Instalacja złośliwego oprogramowania | T+kilka minut | Pobranie programu do zdalnej kontroli (Wiz: oparty na Supershell) | Stały dostęp do serwera |
6. Kradzież i dalszy atak | T+dni do tygodni | Kopiowanie kodu i haseł z repozytoriów, ataki na systemy klientów | Wyciek kodu, przejęcie kolejnych systemów |
Serwer z kodem to sejf z całym dorobkiem firmy tworzącej oprogramowanie. Gogs instaluje się samodzielnie, bez umowy z dostawcą, więc nikt nie przypomina o aktualizacjach, a osoba, która go postawiła, mogła dawno odejść. Ponad połowa widocznych w internecie serwerów Gogs miała według Wiz ślady włamania, co pokazuje skalę zaniedbań w tej kategorii narzędzi.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odbudowa serwera, wstrzymanie wdrożeń, weryfikacja integralności kodu | Dni od wykrycia | 20 tys. do 150 tys. PLN (praca zespołu, przestój projektów) |
Bezpieczeństwo danych | Wyciek kodu źródłowego i haseł z plików konfiguracyjnych, także klientów | Minuty do dni od ataku | 30 tys. do 250 tys. PLN (analiza powłamaniowa, wymiana haseł) |
Finansowy | Kary umowne wobec klientów, koszty specjalistów, utrata wartości własnego produktu | Tygodnie | 50 tys. do 600 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, dla których firma tworzy oprogramowanie | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, jeśli w repozytoriach były dane osobowe lub dostęp do nich; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; możliwe roszczenia klientów | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Gogs <= 0.13.3 widocznym z internetu
Wpływ
5 | . . . . .
4 | . . . . ■ ← KRYTYCZNE przy otwartej rejestracji
3 | . . . . .
2 | . . ■ . . ← serwer tylko w sieci firmowej,
1 | . . . . . zaufani użytkownicy
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: serwer widoczny z internetu z otwartą rejestracją to ryzyko krytyczne (potwierdzone masowe przejęcia, EPSS powyżej 80%, wpływ wysoki); serwer dostępny tylko z sieci firmowej, z kontami wyłącznie zaufanych osób, ma ryzyko wyraźnie niższe, ale nadal wymaga aktualizacji.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma (lub jej podwykonawcy) używa Gogs i w jakiej wersji | Dziś | CTO / kierownik zespołu |
2 | 🔴 NATYCHMIAST | Wyłączyć otwartą rejestrację i ograniczyć dostęp do serwera do sieci firmowej lub VPN | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Zaktualizować Gogs do 0.13.4 lub nowszej (zalecana najnowsza stabilna) | Dziś | Administrator / programista |
4 | 🔴 NATYCHMIAST | Sprawdzić ślady włamania: repozytoria o losowych 8-znakowych nazwach, nieznane konta, nietypowe użycie API PutContents, obce procesy na serwerze | Dziś | Administrator / zespół bezpieczeństwa |
5 | 🟠 PILNIE | Jeśli są ślady: odizolować serwer, odbudować go z czystej instalacji, zmienić wszystkie hasła i klucze zapisane w repozytoriach | Do 3 dni | CTO / zewnętrzny zespół |
6 | 🟠 PILNIE | Przejrzeć listę kont i wyłączyć konta byłych pracowników i podwykonawców | Do 3 dni | CTO |
7 | 🟡 WAŻNIE | Usunąć hasła i klucze z repozytoriów, przenieść je do menedżera sekretów | Do 30 dni | Zespół programistów |
8 | 🟡 WAŻNIE | Wyznaczyć właściciela serwera odpowiedzialnego za śledzenie wydań i poprawek | Do 14 dni | CTO |
Projekt Gogs wydał poprawkę w wersji 0.13.4, a później kolejne wydania z poprawkami bezpieczeństwa, więc aktualizacja jest dostępna. Jeśli nie da się jej wykonać od razu, poniższe miary ograniczają ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie otwartej rejestracji (zalecenie Wiz) | Wysoka wobec obcych z internetu, nie chroni przed przejętymi kontami | Łatwa |
Dostęp do serwera tylko przez VPN lub z listy dozwolonych adresów (zalecenie Wiz) | Wysoka | Średnia |
Przegląd i wyłączenie zbędnych kont, ograniczenie prawa tworzenia repozytoriów | Średnia | Łatwa |
Monitorowanie tworzenia repozytoriów i wywołań API PutContents | Niska jako ochrona, przydatne do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Gogs | 0.13.3 lub starsza | 0.13.4 lub nowsza |
Rejestracja kont | Otwarta dla każdego | Wyłączona, konta zakłada administrator |
Widoczność serwera | Z całego internetu | Tylko z sieci firmowej lub VPN |
Hasła w repozytoriach | Rozsiane w plikach konfiguracyjnych | Wymienione i przeniesione do menedżera sekretów |
Odpowiedzialność | „Postawił to ktoś, kto już nie pracuje” | Wskazany właściciel serwera |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Wiz obserwował ataki od 10 lipca 2025 roku, druga fala od 1 listopada 2025 roku |
Grupy przestępcze | Brak nazwy grupy. Wiz: jednolity wzorzec i to samo złośliwe oprogramowanie (oparte na Supershell) wskazują na jednego aktora lub kilku używających tych samych narzędzi |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg NVD (CVSS 3.1); 8.7 WYSOKA wg zgłaszającego (CVSS 4.0) |
PoC dostępny publicznie? | Opis techniczny łańcucha ataku opublikował Wiz; NVD oznacza jego wpis i zgłoszenie #8078 jako zawierające informacje o wykorzystaniu |
Liczba atakowanych firm | Wiz: ponad 700 przejętych serwerów z około 1400 widocznych w internecie |
Prognoza EPSS | Ponad 80% szansy próby wykorzystania w ciągu 30 dni, górny promil podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-8110
CVSS 3.1 (NVD) 8.8/10 ██████████████████░░ WYSOKA
CVSS 4.0 (zgłasz.) 8.7/10 █████████████████░░░ WYSOKA
EPSS (analiza źr.) >80% ████████████████░░░░ BARDZO WYSOKA
Przejęte serwery 700+ ██████████░░░░░░░░░░ ponad 50% widocznych
CISA KEV TAK ████████████████████ ataki potwierdzone 2025-07-10 Pierwsze ataki zaobserwowane przez Wiz
2025-07-17 Wiz zgłasza lukę opiekunom projektu Gogs
2025-10-30 Opiekunowie potwierdzają podatność
2025-11-01 Druga fala ataków
2025-12-10 Publikacja CVE-2025-8110 w NVD i raportu Wiz, brak poprawki
2026-01-08 Zmiana naprawcza 553707f3 w repozytorium Gogs
2026-01-12 CISA dodaje lukę do katalogu KEV
2026-01-23 Wydanie Gogs 0.13.4 z poprawką
2026-02-02 Termin naprawy wg CISA dla agencji federalnych
2026-06-07 Wydanie Gogs 0.14.3 (kolejne poprawki bezpieczeństwa)
... ponad 7 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Poprawka w repozytorium Gogs wskazana przez CISA: commit 553707f3 . Wydania Gogs: github.com/gogs/gogs/releases . Raport Wiz: wiz.io, Gogs CVE-2025-8110 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-8110 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, gdzie firma przechowuje kod źródłowy i czy jest to Gogs | CTO | DZISIAJ |
2 | Uzyskać pisemnie wersję Gogs oraz informację, czy serwer jest widoczny z internetu i ma otwartą rejestrację | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastowe wyłączenie rejestracji i aktualizację | CTO | DZISIAJ |
4 | Otrzymać wynik sprawdzenia śladów włamania | CTO | DO JUTRA |
5 | Zapytać podwykonawców, czy przechowują kod firmy na Gogs | CTO | DO JUTRA |
6 | Zarezerwować budżet na odbudowę serwera i analizę powłamaniową, jeśli ślady się potwierdzą | CFO | DO JUTRA |
7 | Sprawdzić umowy z klientami pod kątem obowiązku informowania o incydentach dotyczących ich kodu | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy Gogs i w jakiej wersji? | TAK / NIE, [wersja] | 🔴 |
2 | Czy serwer Gogs jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Czy rejestracja nowych kont jest otwarta? | TAK / NIE | 🔴 |
4 | Czy na serwerze są repozytoria o losowych nazwach lub konta, których nie rozpoznajemy? | TAK / NIE | 🔴 |
5 | Kiedy serwer zaktualizowano do 0.13.4 lub nowszej? | [data] | 🟠 |
6 | Ile kont jest aktywnych i czy wszystkie należą do obecnych pracowników i współpracowników? | [liczba], TAK / NIE | 🟠 |
7 | Czy w repozytoriach są zapisane hasła, klucze API lub dane dostępowe do baz? | TAK / NIE | 🟡 |
CVE-2025-8110 pozwala użytkownikowi serwera Gogs do wersji 0.13.3 nadpisać pliki poza repozytorium i przejąć serwer z kodem firmy. Luka była wykorzystywana od lipca 2025 roku, według Wiz przejęto ponad 700 serwerów, a poprawka w wersji 0.13.4 jest dostępna od stycznia 2026 roku. Aktualizacja, wyłączenie otwartej rejestracji i sprawdzenie śladów włamania to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.