一個遲遲不來的緊急修補：Gogs 未修補的 RCE 零時差漏洞

近期，在開源、自託管的 Git 服務 Gogs 中揭露的嚴重安全漏洞，再次為該平台的使用者敲響了警鐘。這個漏洞的 CVSSv4 風險評分高達 9.4 分，屬於「嚴重」等級。它允許任何擁有一個基本使用者帳號的攻擊者，在主機伺服器上執行任意命令。然而，比漏洞本身更令人不安的，是它的修補狀態：儘管早在 2026 年 3 月就已通報給專案的維護者，但至今仍無官方修復程式釋出 。對於全球數以千計自託管 Gogs 實例的管理員來說，理解這個漏洞的運作機制，並立即採取應變措施，是當前刻不容緩的任務。

當 Git 分支名稱變成攻擊指令：一次簡單卻致命的注入

這個漏洞屬於典型的參數注入弱點（CWE-88），問題核心出在 Gogs 處理拉取請求（Pull Request）的方式。當程式庫（Repository）的合併方式設定為「Rebase before merging」（變基後合併）時，使用者所建立的拉取請求中，其來源分支（Source Branch）的名稱會被直接傳遞給伺服器上執行的

git rebase

關鍵的失誤在於，Gogs 的程式碼在調用命令列工具時，遺漏了一個標準的安全做法：沒有使用 -- 分隔符號來明確標示「選項的終點」。這意味著，如果攻擊者將自己的分支命名得像是 --exec='惡意指令'，系統就不會將其視為一個分支標籤，而是將它理解為

git rebase

攻擊流程一覽：

• 必要權限： 任何一個標準、已驗證的使用者帳號，無需管理員身分 。
• 攻擊途徑： 一個帶有惡意分支名稱、精心製作的拉取請求 。
• 攻擊酬載： 攻擊者注入 --exec 參數，後面緊接其想要執行的 Shell 命令 。
• 影響版本： 截至公開揭露時的兩個最新版本，Gogs 0.14.2 和 0.15.0+dev，皆已確認受到影響 。
• 修補狀態： 未修補。此漏洞在 2026 年 5 月 27 日公開時，尚無 CVE 編號 。

發現此漏洞的 Rapid7 Labs 安全研究員 Jonah Burgess 一語道破了其中的機制：「該漏洞允許任何已驗證的使用者，透過建立一個帶有惡意分支名稱的拉取請求，將 --exec 參數注入

git rebase

可預見的危機：開發者長年不回應的安全沈痾

對於長期關注 Gogs 專案的人來說，這個嚴重的未修補零時差漏洞並不令人意外。這只是該專案多年來的一種模式──眾多安全報告都遭到專案唯一（實質上）維護者的沉默以對──當中最新的，也是最嚴重的一個案例。

多個獨立的資安研究團隊記錄了這段被忽視的歷史：

• 2024 年 7 月（SonarSource）： 研究人員公開揭露了 Gogs 中四個未修補的漏洞，包括多個參數注入和內部檔案刪除漏洞，CVSS 分數皆高達 9.9 分。他們將漏洞通報給維護者，但對方在初步接受通報後，便不再溝通，修補程式也從未出現 。
• 2024 年 11 月（獨立研究員）： 另一個透過符號連結遍歷達成 RCE 的未修補漏洞（CVE-2024-44625）被通報並完全遭到忽視，經歷與 SonarSource 如出一轍 。
• 2025 年 12 月（Wiz Research）： 一個被用於實際攻擊的零時差路徑遍歷漏洞（CVE-2025-8110）被發現，它導致超過 700 台對外開放的伺服器受害，並引來美國網路安全暨基礎設施安全局（CISA）的緊急警報，被該局列入了「已知被利用漏洞」目錄（KEV）。
• 2026 年 5 月（NVD/SentinelOne）： 另一個與 Gogs 的版本刪除功能有關的命令注入漏洞（CVE-2026-26194）被登記，使得該程式碼庫中的 Git 選項注入問題清單再添一筆 。

這一系列的歷史，讓 Rapid7 這次的揭露，其意義已遠超一份單純的安全公告。正如一家業界媒體所言，此情此景「提醒了我們開源專案的侷限性」，尤其是當其依賴一位不回應的單一維護者時 。缺乏有效的多方治理，一項被廣泛使用的關鍵基礎設施，就可能成為一個永久性的風險。

保護您的 Gogs 伺服器：現在就能做的緊急措施

由於沒有軟體修補程式可用，管理員必須仰賴調整組態和網路層級的控管，來化解這個攻擊途徑。以下步驟可以阻止眼前的威脅並縮小受攻擊面。

1. 立即停用「Rebase before merging」
這是唯一最有效的緩解措施。整個攻擊鏈完全依賴這個特定的合併模式。將程式庫或全站設定改為「Merge commit」（合併提交）或「Squash」（壓縮合併），就能徹底消除這段存在漏洞的程式碼路徑 。

2. 限制網路存取來源
要發動此攻擊，需要透過 HTTP 進行驗證並建立拉取請求。如果您的 Gogs 伺服器不需要公開，請將其置於 VPN 或防火牆後方，只允許信任的內部使用者連線。這樣做可以讓平台遠離大規模的網路掃描和隨機攻擊者。

3. 緊縮使用者註冊與權限
既然任何已驗證使用者都能利用此漏洞，那麼，儘可能減少伺服器上的帳號數量就是一項關鍵防禦。請停用自行註冊功能，改為手動審核新使用者。同時，立即稽核您的使用者清單，並停用任何已失效或來路不明的帳號 。

4. 監控可疑的拉取請求
請對拉取請求的分支名稱進行嚴密監控，留意當中含有可疑字元的名稱，包括雙破折號（--）、分號、反引號、或明顯的 Shell 命令關鍵字，例如 exec、curl、wget 等。不尋常的分支名稱是有人正在嘗試利用此漏洞的強烈跡象 。

5. 規劃您的長期「脫離 Gogs」方案
鑑於其重大漏洞長期未修補的歷史紀錄，繼續依賴 Gogs 已是一種策略性的風險。目前最可行的替代方案是 Gitea，它是由社群主導的 Gogs 分支，擁有一個健全、由多位維護者組成的開發團隊，以及反應迅速的安全程序。市場上當然還有其他主要的 Git 服務平台，但對於當初看上 Gogs 輕量、可自託管特性的團隊來說，Gitea 幾乎是一個可直接替換的選擇，能徹底解決單一維護者瓶頸的問題 。

6. 為可能到來的修補程式做好準備
請持續關注 Gogs 的安全頁面和 GitHub 上的版本發布。如果最終有修補程式釋出，請立即升級。但同時，也請以「這樣的模式將會重演，未來某個重大漏洞又將在未修補的狀態下拖延數月」為前提，來規劃您的安全防護策略。