Gogsに深刻な脆弱性、CVE-2025-8110でRCEの恐れ
GogsのCVE-2025-8110、早急な対応が求められる状況
**CISAは、Gogs**に存在する高リスクの脆弱性 CVE-2025-8110 について、実環境での積極的な悪用が確認されているとして注意を呼びかけている。
この脆弱性は、ユーザー認証を回避した上で、サーバー外部の任意ファイルを上書きできる挙動につながり、結果としてリモートコード実行（RCE）を許す可能性があるとされる。
現時点では公式な修正パッチは提供されておらず、Gogsを運用するシステム全体にとって無視できないリスクとなっている。
そのため、影響を受ける環境では、公開範囲の制限やアクセス制御の見直しなど、暫定的な対策を含めた慎重な運用が求められている。
脆弱性の攻撃経路とシンボリックリンク悪用
**Gogs**の CVE-2025-8110 は、PutContents APIにおけるシンボリックリンク処理の不備に起因する。
攻撃者は細工したシンボリックリンクを作成し、パストラバーサルを通じて本来アクセスできない機密ファイルを上書きできるとされている。
特に、Gitの設定ファイルに含まれる sshCommand の設定を操作することで、任意コードの実行につながる可能性が指摘されている。
この手法は、過去に導入された CVE-2024-55947 に対する防御策を回避する形で悪用されるもので、報告によれば700を超えるGogsインスタンスが既に影響を受けているという。
未解決の課題と求められる暫定対応
現時点では、**CVE-2025-8110に対する公式な修正パッチは公開されていないが、関連するコード修正はGitHub上に提出されており、新たなビルドが提供され次第、Gogsの最新版で問題が解消される見通しとされている。
一方、CISA**は、連邦機関に対し2026年2月2日までに必要な緩和措置を適用するよう指示しており、Gogs利用者にもオープン登録機能の無効化や、VPNによるアクセス制限などの暫定対応を推奨している。
Gogsのインスタンスは中国、米国、ドイツを含む複数の国に分布しており、影響は国際的に広がっている。
認証を伴わずにリモートからシステムを侵害できる点を踏まえると、本脆弱性は看過できないリスクであり、管理者には公式修正が提供されるまでの間、攻撃を想定した防御的な運用が求められる状況だ。
