Correção Urgente que Não Virá: A Vulnerabilidade Zero-Day de Execução Remota de Código no Gogs

Essa omissão significa que, se um invasor nomear seu branch como algo do tipo --exec='comando malicioso', o sistema interpretará o nome do branch não como um rótulo, mas como uma flag de comando para o git rebase. A flag --exec foi projetada justamente para executar um comando de shell após cada commit ser reaplicado. O resultado é a execução arbitrária de comandos no sistema operacional subjacente, com os privilégios do processo do servidor Gogs .

Detalhes do ataque em resumo:

• Acesso necessário: Qualquer conta de usuário padrão e autenticada. Não são necessários privilégios administrativos.
• Vetor: Um pull request especialmente criado com um nome de branch malicioso.
• Carga útil (payload): O invasor injeta a flag --exec, seguida pelo comando de shell desejado.
• Versões afetadas: As versões mais recentes, Gogs 0.14.2 e 0.15.0+dev, estão confirmadas como vulneráveis.
• Estado: Sem correção. A falha não possui um identificador CVE até o momento da divulgação pública, em 27 de maio de 2026.

O pesquisador de segurança Jonah Burgess, da Rapid7 Labs, que descobriu a falha, explicou o mecanismo de forma direta: "A vulnerabilidade permite que qualquer usuário autenticado obtenha execução remota de código (RCE) no servidor criando um pull request com um nome de branch malicioso que injeta a flag --exec no git rebase."

Uma Crise Anunciada: O Padrão de Inação do Mantenedor

Para quem acompanha o projeto Gogs, essa falha zero-day crítica e sem correção não é uma surpresa. É o exemplo mais recente e grave de um padrão de anos, em que relatos de segurança são recebidos com silêncio pelo mantenedor principal — e, na prática, único — do projeto.

O histórico de negligência está bem documentado por diversas equipes de pesquisa independentes:

• Julho de 2024 (SonarSource): Pesquisadores divulgaram publicamente quatro vulnerabilidades não corrigidas no Gogs, incluindo múltiplos bugs de injeção de argumento e uma falha de exclusão de arquivos internos, todos com pontuações CVSS críticas de 9.9. Eles as reportaram ao mantenedor, mas após uma aceitação inicial, a comunicação cessou e nenhuma correção foi disponibilizada .
• Novembro de 2024 (Pesquisador Independente): Uma outra falha RCE não corrigida, via travessia de link simbólico (CVE-2024-44625), foi reportada e completamente ignorada, espelhando a experiência da SonarSource .
• Dezembro de 2025 (Wiz Research): Uma vulnerabilidade zero-day de path traversal (CVE-2025-8110) foi descoberta enquanto era ativamente explorada. Ela comprometeu mais de 700 servidores expostos na internet e levou a um alerta urgente da Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA), que a adicionou ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) .
• Maio de 2026 (NVD/SentinelOne): Um novo bug de injeção de comando (CVE-2026-26194) foi reservado para uma falha na função de exclusão de releases do Gogs, aumentando ainda mais a lista de problemas de injeção de opções do Git na base de código .

Esse histórico transformou a mais recente divulgação da Rapid7 em algo mais do que um simples alerta de segurança. Como um veículo especializado colocou, a situação é "um lembrete dos limites dos projetos de código aberto" quando dependem de um único mantenedor que não responde . Sem uma governança efetiva com múltiplas partes interessadas, um software amplamente utilizado como infraestrutura crítica pode se tornar um risco permanente.

Como Proteger Seu Servidor Gogs Agora

Como não há uma correção de software disponível, os administradores precisam confiar em mudanças de configuração e controles no nível da rede para neutralizar o vetor de ataque. As etapas a seguir interrompem a ameaça imediata e reduzem a superfície de ataque.

1. Desabilite "Rebase antes de mesclar" Imediatamente
Esta é a mitigação individual mais eficaz. Toda a cadeia de ataque depende deste estilo de merge específico. Alterar as configurações do repositório ou da instância para "Merge commit" ou "Squash" elimina completamente o caminho de código vulnerável .

2. Restrinja o Acesso à Rede
O ataque requer acesso HTTP autenticado para criar um pull request. Se o seu servidor Gogs não precisa ser público, coloque-o atrás de uma VPN ou firewall que permita apenas usuários internos confiáveis. Isso remove a plataforma dos scanners de internet em massa e de invasores casuais.

3. Reforce o Registro e as Permissões de Usuário
Como qualquer usuário autenticado pode explorar essa falha, minimizar o número de contas no servidor é uma defesa fundamental. Desabilite o auto-registro e aprove novos usuários manualmente. Faça uma auditoria imediata na sua lista de usuários e desative quaisquer contas inativas ou desconhecidas .

4. Monitore Pull Requests em Busca de Anomalias
Implemente um monitoramento rigoroso para nomes de branch em pull requests que contenham caracteres suspeitos, incluindo hífens duplos (--), ponto e vírgula, crases ou tokens claros de comandos de shell como exec, curl ou wget. Um nome de branch incomum é um forte indicador de uma tentativa de exploração ativa .

5. Planeje sua Saída de Longo Prazo do Gogs
Diante do padrão documentado de vulnerabilidades críticas não corrigidas, a dependência contínua do Gogs é um risco estratégico. A alternativa mais viável é o Gitea, um fork do Gogs conduzido pela comunidade, que possui uma equipe de desenvolvimento robusta, com múltiplos mantenedores, e um processo de segurança responsivo. Existem várias outras plataformas de serviço Git de grande porte, mas para equipes que escolheram o Gogs especificamente por sua natureza leve e auto-hospedada, o Gitea é um substituto quase direto que elimina o gargalo do mantenedor único .

6. Prepare-se para uma Correção (Se Alguma Chegar)
Mantenha-se inscrito na página de segurança do Gogs e nas releases do GitHub. Se uma correção for eventualmente publicada, atualize imediatamente. No entanto, planeje sua postura de segurança partindo do pressuposto de que esse padrão se repetirá e que uma futura vulnerabilidade crítica novamente permanecerá meses sem correção.