Hackers que explotan activamente la vulnerabilidad RCE de Gitea en la naturaleza para secuestrar instancias

Los hackers están explotando activamente una vulnerabilidad crítica de ejecución remota de código de Gitea, rastreada como CVE-2026-60004, para comprometer los servidores de gestión de código fuente orientados a Internet. Los investigadores descubrieron que un actor de amenazas de habla china, llamado Red Heron, convirtió rápidamente el código de exploit público en un marco de ataque automatizado que robaba el código fuente, recopilaba credenciales, instalaba puertas traseras y se adentraba en las redes de las víctimas.

La vulnerabilidad existe en la función diffpatch de Gitea, que procesa los parches del repositorio mediante comandos Git. El exploit abusa del comportamiento de combinación de tres vías de Git para escribir un archivo malicioso en el directorio hook del repositorio. Esto proporciona a los atacantes la ejecución remota de código en el servidor vulnerable. Hackers que explotan la vulnerabilidad RCE de n-días de Gitea Aunque la exploit requiere acceso de escritura a un repositorio, muchas implementaciones expuestas de Gitea permiten a los usuarios registrar nuevas cuentas.

Divulgación pública de CVE-2026-60004 y Gitea DiffPatch RCE Advisory (Fuente: acronis) Los investigadores identificaron actividad confirmada de víctimas en Canadá, Argentina, Taiwán, Estados Unidos y Sri Lanka. La publicación Hackers Exploiting Actively Gitea n-day RCE Vulnerability in the Wild to Hijack Instances apareció primero en Cyber Security News.

Consultar publicación original ↗