La vulnerabilidad crítica CVE-2026-60004 en la plataforma Gitea (CVSS 9.8), sobre la que ya escribimos, se convirtió en el vector de una campaña de ciberespionaje a gran escala. Según el informe de Acronis Threat Research Unit (TRU), el grupo rastreado como Red Heron convirtió en cuestión de días el exploit publicado en una herramienta de ataque automatizada y, según se informa, comprometió a 13 organizaciones en seis países: Canadá, Argentina, Taiwán, Estados Unidos, Catar y Sri Lanka. Todos los administradores de instancias de Gitea en versiones desde la 1.17 hasta la 1.27.0 inclusive deben actualizar de inmediato a la versión 1.27.1 o posterior.
Aspectos técnicos de la vulnerabilidad
Según el aviso de seguridad oficial de Gitea, la vulnerabilidad CVE-2026-60004 (CWE-94) está relacionada con el endpoint diffpatch: un atacante con permisos de escritura en un repositorio puede, mediante un parche especialmente preparado, instalar y ejecutar un hook de Git malicioso, obteniendo así la capacidad de lanzar comandos arbitrarios en nombre del usuario del sistema de Gitea.
Un matiz importante que a menudo se pasa por alto al describir esta vulnerabilidad: no es incondicionalmente previa a la autenticación. Para explotarla se requiere acceso de escritura al repositorio. Sin embargo, dado que en Gitea el registro abierto está habilitado de forma predeterminada, un atacante puede crear por sí mismo una cuenta y un repositorio, eludiendo de facto esta limitación sin necesidad de robar las credenciales de nadie. Además, según el aviso de seguridad, la explotación requiere la presencia de Git versión 2.32 o posterior, la ruta diffpatch habilitada y un sistema de archivos temporal con permisos de escritura y ejecución.
La vulnerabilidad afecta a todas las versiones de Gitea desde la 1.17 hasta, pero sin incluir, la 1.27.1. El parche se publicó el 27 de julio de 2026. A finales de agosto, CISA añadió CVE-2026-60004 a su catálogo de vulnerabilidades explotadas conocidas (KEV) con fecha límite para los organismos federales el 28 de agosto de 2026. No obstante, según datos de Shadowserver Foundation, en el momento del escaneo seguían existiendo más de 8.300 direcciones IP vulnerables, principalmente en China, Alemania y Estados Unidos.
Campaña Red Heron: cronología y alcance
Según el informe de Acronis TRU, el grupo Red Heron empezó a armar el exploit de acceso público para CVE-2026-60004 el 29 de julio de 2026, tan solo dos días después de la publicación del parche. El código PoC público se transformó en un framework automatizado en Python (exp_enhanced.py), capaz de registrar cuentas, explotar servidores vulnerables, robar repositorios y eliminar rastros.
Según el mismo informe, Red Heron escaneó 1.386 instancias de Gitea en siete países y mantenía un registro aparte de 477 sistemas en Taiwán. Según se indica, las compromisiones confirmadas afectaron a organizaciones de los sectores de defensa, energía, industria aeroespacial, telecomunicaciones, administración pública e investigación.
Entre los incidentes documentados en el informe se incluyen:
- Intrusión en un entorno taiwanés, donde los atacantes avanzaron desde un servidor Gitea vulnerable hasta obtener acceso root a un clúster Proxmox de tres nodos
- Exfiltración de cientos de repositorios de una empresa taiwanesa de automatización industrial, incluido el código de herramientas SCADA/HMI, integraciones IoT y sistemas de monitorización
- Robo de repositorios, secretos de configuración, claves SSH y tokens internos de una empresa canadiense del sector de energías renovables
- Ataques contra 18 sitios basados en Joomla en 10 países utilizando la misma infraestructura
Cabe señalar que los detalles de la campaña mencionados se basan en una única fuente —el informe de Acronis TRU— y no han sido confirmados de forma independiente por otros investigadores.
Herramientas: JITTERLY y SIXZUT
Según el informe, en un servidor intermedio de los atacantes se descubrió un implante en C++ para Linux llamado JITTERLY, que admite más de 30 comandos de postexplotación: ejecución de comandos de shell, transferencia de archivos, finalización de procesos, tunelización de red, acceso interactivo a terminal y movimiento lateral. Este implante ya había sido descrito anteriormente por el investigador con el seudónimo dmpdump, quien señaló su similitud con el agente AdaptixC2, documentado por Unit 42.
Dentro del backdoor se descubrió un rootkit hasta ahora no descrito llamado SIXZUT, que utiliza el mecanismo LD_PRELOAD. Según el informe, intercepta 15 funciones distintas de Linux para ocultar archivos, procesos y conexiones de red, y también es capaz de reiniciarse automáticamente en caso de finalización o eliminación.
Atribución
Acronis evalúa la vinculación de Red Heron con China con un grado de confianza moderado. Los fundamentos de esta evaluación son: el uso de chino simplificado en las etiquetas para clasificar los objetivos, la clasificación sistemática de Taiwán como parte de China, así como el perfil de los objetivos, que coincide con las prioridades de recopilación de inteligencia de la RPC. Por el momento no existe una confirmación independiente de esta atribución por parte de otros grupos de investigación.
Recomendaciones de protección
- Actualice Gitea a la versión 1.27.1 o posterior. Esto corrige CVE-2026-60004
- Desactive el registro abierto si no es necesario para la operación; este es el requisito clave que permite explotar la vulnerabilidad sin acceso previo
- Revise los registros en busca de creaciones sospechosas de cuentas, creación de repositorios y accesos al endpoint
diffpatchdurante el periodo de vulnerabilidad - Realice una auditoría de los hooks de Git en los repositorios existentes para detectar cambios no autorizados
- Limite el acceso de red a las instancias de Gitea: alojarlas detrás de una VPN o restringir por IP reduce considerablemente la superficie de ataque
- Revise el sistema de archivos temporal: si está montado con la opción
noexec, la explotación a través de este vector es imposible
La campaña Red Heron demuestra claramente la velocidad con la que los exploits públicos para vulnerabilidades en plataformas de desarrollo se convierten en herramientas de espionaje dirigido. Según los datos disponibles, entre la publicación del parche Gitea 1.27.1 y el inicio de los ataques automatizados transcurrieron solo dos días. Las organizaciones que utilizan instancias de Gitea autoalojadas deben no solo instalar la actualización, sino también llevar a cabo un análisis retrospectivo en busca de posibles compromisiones, especialmente si la instancia fue accesible desde internet con el registro abierto habilitado en el periodo previo a la publicación del parche. Puede obtener más información sobre la propia vulnerabilidad y el mecanismo de explotación a través de hooks de Git en nuestro análisis anterior.
