Kampagne Red Heron: Wie die Schwachstelle CVE-2026-60004 in Gitea zur Kompromittierung von Organisationen in sechs Ländern führte

Die kritische Schwachstelle CVE-2026-60004 in der Plattform Gitea (CVSS 9.8), über die wir bereits berichtet haben, wurde zum Ausgangspunkt einer großangelegten Cyberspionage-Kampagne. Laut einem Bericht der Acronis Threat Research Unit (TRU) hat die als Red Heron verfolgte Gruppe den öffentlich gewordenen Exploit innerhalb weniger Tage in ein automatisiertes Angriffswerkzeug verwandelt und damit Berichten zufolge 13 Organisationen in sechs Ländern kompromittiert – in Kanada, Argentinien, Taiwan, den USA, Katar und Sri Lanka. Alle Administratoren von Gitea-Instanzen der Versionen von 1.17 bis einschließlich 1.27.0 müssen umgehend auf Version 1.27.1 oder höher aktualisieren.

Technischer Kern der Schwachstelle

Dem offiziellen Gitea-Sicherheitshinweis zufolge hängt die Schwachstelle CVE-2026-60004 (CWE-94) mit dem Endpoint diffpatch zusammen: Ein Angreifer mit Schreibrechten für ein Repository kann über einen speziell präparierten Patch einen bösartigen Git-Hook installieren und ausführen und so beliebige Befehle im Kontext des Systembenutzers von Gitea ausführen.

Ein wichtiger Aspekt, der in Beschreibungen dieser Schwachstelle häufig übersehen wird: Sie ist nicht bedingungslos prae-authentifiziert. Für die Ausnutzung werden Schreibrechte für ein Repository benötigt. Da in Gitea jedoch standardmäßig eine offene Registrierung aktiviert ist, kann ein Angreifer selbständig einen Account und ein Repository anlegen und dieses Erfordernis damit praktisch umgehen, ohne Zugangsdaten stehlen zu müssen. Darüber hinaus setzt die Ausnutzung laut Sicherheitshinweis voraus, dass Git in Version 2.32 oder neuer vorhanden ist, die Route diffpatch aktiviert ist und ein temporäres Dateisystem mit Schreib- und Ausführungsrechten existiert.

Die Schwachstelle betrifft alle Gitea-Versionen ab 1.17 bis (aber ohne) 1.27.1. Der Patch wurde am 27. Juli 2026 veröffentlicht. Ende August nahm CISA CVE-2026-60004 in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) auf und setzte für Bundesbehörden eine Frist bis zum 28. August 2026. Dennoch waren laut Daten der Shadowserver Foundation zum Zeitpunkt des Scans noch über 8.300 verwundbare IP-Adressen vorhanden, überwiegend in China, Deutschland und den USA.

Kampagne Red Heron: Chronologie und Umfang

Dem Bericht der Acronis TRU zufolge begann die Gruppe Red Heron am 29. Juli 2026 damit, den öffentlich verfügbaren Exploit für CVE-2026-60004 zu bewaffnen – nur zwei Tage nach Veröffentlichung des Patches. Der öffentliche PoC-Code wurde in ein automatisiertes Python-Framework (exp_enhanced.py) umgewandelt, das in der Lage ist, Accounts zu registrieren, verwundbare Server auszunutzen, Repositories zu stehlen und Spuren zu verwischen.

Nach demselben Bericht scannte Red Heron 1.386 Gitea-Instanzen in sieben Ländern und führte ein separates Verzeichnis von 477 Systemen in Taiwan. Den Angaben zufolge betrafen bestätigte Kompromittierungen Organisationen in den Bereichen Verteidigung, Energie, Luft- und Raumfahrt, Telekommunikation, öffentliche Verwaltung und Forschung.

Zu den im Bericht dokumentierten Vorfällen gehören:

• Ein Eindringen in eine Umgebung in Taiwan, bei dem sich die Angreifer von einem verwundbaren Gitea-Server bis hin zu Root-Zugriff auf einen dreiknotigen Proxmox-Cluster vorarbeiteten
• Die Exfiltration von Hunderten Repositories eines taiwanischen Unternehmens für industrielle Automatisierung, einschließlich Code von SCADA/HMI-Werkzeugen, IoT-Integrationen und Überwachungssystemen
• Der Diebstahl von Repositories, Konfigurationsgeheimnissen, SSH-Schlüsseln und internen Tokens eines kanadischen Unternehmens im Bereich erneuerbare Energien
• Angriffe auf 18 Joomla-basierte Websites in 10 Ländern unter Nutzung derselben Infrastruktur

Es ist zu beachten, dass die genannten Details der Kampagne auf einer einzigen Quelle – dem Bericht der Acronis TRU – beruhen und bislang nicht unabhängig von anderen Forschern bestätigt wurden.

Werkzeugkette: JITTERLY und SIXZUT

Laut Bericht wurde auf einem Zwischensever der Angreifer ein C++-Implantat für Linux mit dem Namen JITTERLY entdeckt, das mehr als 30 Post-Exploitation-Befehle unterstützt: Ausführung von Shell-Befehlen, Dateiübertragungen, Beenden von Prozessen, Network Tunneling, interaktiver Terminalzugang und laterale Bewegung. Dieses Implantat wurde zuvor von einem Forscher mit dem Pseudonym dmpdump beschrieben, der seine Ähnlichkeit mit dem Agenten AdaptixC2 hervorhob, der von Unit 42 dokumentiert wurde.

Innerhalb der Backdoor wurde ein bislang nicht beschriebener Rootkit namens SIXZUT entdeckt, der den Mechanismus LD_PRELOAD verwendet. Dem Bericht zufolge klinkt er sich in 15 verschiedene Linux-Funktionen ein, um Dateien, Prozesse und Netzwerkverbindungen zu verbergen, und kann sich nach Beendigung oder Löschung automatisch neu starten.

Attribution

Acronis bewertet eine Verbindung von Red Heron zu China mit moderater Zuversicht. Grundlage für diese Einschätzung sind: die Verwendung der vereinfachten chinesischen Sprache in Labels zur Klassifizierung von Zielen, die konsequente Einstufung Taiwans als Teil Chinas sowie ein Zielprofil, das mit den Prioritäten der nachrichtendienstlichen Informationsbeschaffung der VR China übereinstimmt. Eine unabhängige Bestätigung dieser Attribution durch andere Forschergruppen liegt derzeit nicht vor.

Empfehlungen zum Schutz

• Aktualisieren Sie Gitea auf Version 1.27.1 oder höher. Dadurch wird CVE-2026-60004 behoben
• Deaktivieren Sie die offene Registrierung, sofern sie für den Betrieb nicht erforderlich ist – dies ist eine zentrale Voraussetzung, die die Ausnutzung der Schwachstelle ohne vorherigen Zugang ermöglicht
• Prüfen Sie die Logs auf verdächtige Account-Registrierungen, Repository-Erstellungen und Aufrufe des Endpoints diffpatch im Zeitraum der Verwundbarkeit
• Führen Sie einen Audit der Git-Hooks in bestehenden Repositories auf unautorisierte Änderungen durch
• Beschränken Sie den Netzwerkzugriff auf Gitea-Instanzen – die Platzierung hinter einem VPN oder IP-Restriktionen verringern die Angriffsfläche erheblich
• Überprüfen Sie das temporäre Dateisystem: Wenn es mit dem Flag noexec eingehängt ist, ist eine Ausnutzung über diesen Vektor nicht möglich

Die Kampagne Red Heron zeigt deutlich, wie schnell öffentliche Exploits für Schwachstellen in Entwicklungsplattformen in Werkzeuge für zielgerichtete Spionageangriffe verwandelt werden. Zwischen der Veröffentlichung des Patches Gitea 1.27.1 und dem Beginn der automatisierten Angriffe vergingen den vorliegenden Angaben nach nur zwei Tage. Organisationen, die selbst gehostete Gitea-Instanzen einsetzen, müssen nicht nur das Update einspielen, sondern auch eine retrospektive Analyse auf mögliche Kompromittierungen durchführen – insbesondere, wenn die Instanz im Zeitraum vor Veröffentlichung des Patches mit aktivierter offener Registrierung aus dem Internet erreichbar war. Mehr über die Schwachstelle selbst und den Exploit-Mechanismus über Git-Hooks finden Sie in unserer früheren Analyse.