Ringkasan cerita
- Forgejo menerbitkan versi 16.0.4 dan 15.0.8 untuk memperbaiki CVE-2026-89094.
- Celah kritis memungkinkan template repositori berbahaya membaca data dan menjalankan proses pada host Forgejo dalam kondisi tertentu.
- Pengelola Forgejo perlu memprioritaskan pembaruan dan meninjau repositori yang dibuat dari template tidak tepercaya.
Forgejo merilis versi 16.0.4 dan 15.0.8 untuk memperbaiki celah keamanan kritis yang memungkinkan eksekusi kode jarak jauh melalui proses pembuatan repositori dari template.[1][2]
Fakta terverifikasi
Advisory resmi Forgejo menjelaskan bahwa ekspansi variabel pada berkas .forgejo/template dapat membuat kembali direktori .git sebelum proses git init. Direktori yang terbentuk secara berbahaya itu kemudian dapat diadopsi oleh Git dan digunakan untuk membaca data atau menjalankan proses pada host Forgejo.[1]
Perbaikan proyek menghapus kembali direktori .git setelah ekspansi template selesai dan sebelum repositori diinisialisasi.[1] Patch tersedia pada Forgejo 16.0.4 dan cabang LTS 15.0.8.[1][2]
CVE-2026-89094 menggambarkan masalah yang sama sebagai remote code execution pada Forgejo sebelum 16.0.4.[3] LWN menyebut kerentanan ini sebagai salah satu dari dua masalah keamanan yang diperbaiki dalam rilis tersebut dan mengutip rekomendasi untuk segera melakukan pembaruan.[2]
Tindakan yang relevan
Pengelola instans sebaiknya memeriksa versi yang berjalan dan memperbarui ke 16.0.4 atau 15.0.8 sesuai cabang yang digunakan.[1][2] Sampai pembaruan selesai, batasi pembuatan repositori dari template yang berasal dari pengguna atau sumber yang tidak tepercaya dan tinjau log aktivitas pembuatan repositori.
Yang belum jelas
Advisory dan laporan yang diperiksa tidak menyatakan adanya kampanye eksploitasi massal atau daftar instans yang telah dikompromikan.[1][2] Karena itu, artikel ini tidak mengubah keberadaan kerentanan menjadi klaim bahwa semua instans sedang diserang.
Risiko aktual bergantung pada versi, konfigurasi, serta hak pengguna yang dapat membuat dan menghasilkan repositori dari template. Pemeriksaan lokal tetap diperlukan untuk menentukan paparan tiap instalasi.[1][3]
Penyebaran sosial
Sinyal awal muncul dari percakapan komunitas keamanan dan unggahan yang menunjuk pada rilis Forgejo 16.0.4. Radar Dunia memprioritaskan advisory proyek dan laporan LWN sebagai dasar verifikasi; angka tayangan, repost, atau unggahan yang belum memiliki bukti teknis tidak dipakai untuk menetapkan tingkat keparahan.[1][2]
Riwayat pembaruan
Artikel ini akan diperbarui jika Forgejo menerbitkan koreksi, pengelola proyek mengonfirmasi eksploitasi aktif, atau analisis independen menambahkan dampak yang dapat diverifikasi.[1][2]
Sources
[1] https://codeberg.org/forgejo/security-announcements/issues/59 — Forgejo v15.0.8 and v16.0.4 security announcement [2] https://lwn.net/Articles/1093671/ — Forgejo 16.0.4 and 15.0.8 address critical security vulnerability [3] https://cve.report/CVE-2026-89094 — CVE-2026-89094 vulnerability record
Yang sudah terverifikasi
- Advisory resmi Forgejo menyebut perbaikan pada ekspansi template sebelum inisialisasi repositori Git.
- Laporan LWN mengonfirmasi rilis 16.0.4 dan 15.0.8 serta mengklasifikasikan celah tersebut sebagai RCE kritis.
- CVE-2026-89094 tercantum sebagai kerentanan pada Forgejo sebelum versi 16.0.4, dengan patch untuk cabang 16 dan 15 LTS.
Yang masih belum jelas
- Sumber yang diperiksa tidak menyatakan bahwa eksploitasi massal atau kompromi nyata terhadap instans tertentu sedang berlangsung.
- Dampak tiap instans bergantung pada konfigurasi, hak pengguna, dan apakah fitur pembuatan repositori dari template tersedia.
- Tidak ada dasar untuk menyimpulkan seluruh pengguna Forgejo terdampak tanpa pemeriksaan versi dan konfigurasi masing-masing.
Percakapan dan penyebaran
Peringatan menyebar melalui advisory Forgejo, pembaruan rilis Codeberg, laporan LWN, dan unggahan komunitas keamanan. Perhatian sosial dipakai sebagai sinyal urgensi; detail teknis dan rekomendasi pembaruan ditambatkan pada advisory proyek dan pelaporan independen.