El 28 de agosto de 2026, más de 8.300 instancias de Gitea expuestas en Internet continuaban sin aplicar el parche frente a CVE-2026-60004, una vulnerabilidad crítica de inyección de código que está siendo explotada para ejecutar comandos de forma remota. La cifra procede de Shadowserver, que monitoriza sistemas accesibles desde Internet y ha detectado ataques activos contra servidores que todavía no han sido actualizados.
La vulnerabilidad afecta al endpoint diffpatch de Gitea. Un atacante autenticado con permisos de escritura en un repositorio puede enviar parches maliciosos para instalar y ejecutar un hook de Git controlado desde el contenido del repositorio. De este modo, consigue ejecutar comandos arbitrarios de shell con los privilegios de la cuenta de servicio de Gitea en el sistema operativo.
El requisito de disponer de acceso de escritura no impide necesariamente la explotación sin credenciales previas. Gitea habilita por defecto el autorregistro, por lo que un atacante no autenticado puede crear una cuenta, abrir un repositorio nuevo y obtener los permisos necesarios para activar la vulnerabilidad. El equipo de seguridad de Gitea ha advertido de que un visitante puede alcanzar ese nivel de acceso mediante el registro y la creación de un repositorio cuando la configuración predeterminada permanece activa.
Gitea publicó la versión 1.27.1 el 27 de julio para corregir CVE-2026-60004 y recomendó actualizar los servidores lo antes posible. Sin embargo, Shadowserver alertó el viernes de que casi 8.400 servidores de Gitea accesibles desde Internet seguían desprotegidos. En concreto, el grupo informó de 8.393 direcciones IP vulnerables identificadas el 27 de agosto durante sus operaciones de análisis y notificación.
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) incorporó el martes CVE-2026-60004 a su catálogo de vulnerabilidades explotadas activamente. Además, ordenó a las agencias del Federal Civilian Executive Branch (FCEB) que corrigieran sus servidores en un plazo de tres días, antes del 28 de agosto, conforme a la Binding Operational Directive (BOD) 26-04.
CISA no había publicado más detalles sobre los ataques contra esta vulnerabilidad, aunque los informes disponibles apuntan a que los actores están desplegando malware de minería de criptomonedas en servidores de Gitea sin parchear. La agencia señaló que este tipo de vulnerabilidad constituye un vector de ataque frecuente para actores maliciosos y supone riesgos relevantes para los entornos federales.
El incidente se suma a otra vulnerabilidad crítica que afectó a Gitea durante julio. Los actores de amenazas fueron observados explotando CVE-2026-20896, una falla de bypass de autenticación presente en la imagen oficial de Gitea para Docker. El problema afecta a las instancias que tienen habilitadas las cabeceras de autenticación de proxy inverso.
Gitea es una alternativa autoalojada a las plataformas de alojamiento de código y DevOps GitHub, GitLab y Bitbucket. El proyecto cuenta con más de 400.000 instalaciones y cerca de 1.500 colaboradores. La exposición de miles de servidores a una vulnerabilidad con explotación activa incrementa el riesgo de compromiso de repositorios y de ejecución de cargas maliciosas con los privilegios asignados al servicio.
La información procede de BleepingComputer: Over 8,300 Gitea servers vulnerable to code execution attacks.
Fuente: BleepingComputer
Más noticias
CISA alerta de la explotación de una vulnerabilidad de ejecución remota de código en Gitea
Chrome 152 corrige 327 vulnerabilidades, diez de ellas críticas
Adobe y Nvidia corrigen decenas de vulnerabilidades, incluidas varias críticas
CISA alerta de explotación activa de una vulnerabilidad de Citrix NetScaler
CISA incorpora tres vulnerabilidades explotadas a su catálogo KEV
Venezolano recibe la mayor condena federal por ataques de jackpotting contra cajeros