CISA advirtió sobre la explotación activa de una vulnerabilidad crítica en Gitea (CVE-2026-60004) que permite la ejecución remota de código. El fallo afecta a versiones desde la 1.17 y puede ser aprovechado por usuarios registrados para ejecutar comandos del sistema. Se recomienda actualizar a la versión 1.27.1 para mitigar ataques, como el despliegue de mineros de criptomonedas.






La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) advirtió el martes sobre esfuerzos de explotación activa dirigidos a un fallo de seguridad crítico recientemente parcheado que afecta a Gitea.

La vulnerabilidad en cuestión es la CVE-2026-60004 (puntuación CVSS: 9.8), un caso de ejecución remota de código que permite a un atacante con acceso de escritura ordinario a un repositorio ejecutar comandos de shell arbitrarios como el usuario del SO de Gitea.

"El punto final diffpatch de Gitea puede ser abusado para instalar y ejecutar un hook de Git desde contenido controlado por el repositorio", según un aviso publicado por Gitea el mes pasado. "Con el registro abierto por defecto, un visitante no autenticado puede obtener el acceso de escritura requerido registrando una cuenta y creando un repositorio".

El investigador de seguridad Shai rod (también conocido como NightRang3r) ha sido acreditado con el descubrimiento y reporte del problema. El fallo afecta a todas las versiones de Gitea desde la versión 1.17 y ha sido parcheado en la versión 1.27.1.

Aunque la llamada a la API vulnerable requiere autenticación y permisos de escritura en el repositorio, el hecho de que Gitea permita el registro por defecto hace que sea posible que un actor externo cree una cuenta y un repositorio y luego active el exploit sin tener que depender de credenciales preexistentes.

"Gitea contiene una vulnerabilidad de inyección de código que permite a un atacante con acceso de escritura al repositorio enviar un parche malicioso al punto final de la API diffpatch para implantar un hook de Git ejecutable y ejecutar comandos de shell como la cuenta de servicio de Gitea", afirmó CISA.

La agencia, que añadió el fallo a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), no reveló detalles sobre cómo se ha explotado el fallo de seguridad en el mundo real ni quién está detrás de estos esfuerzos.

Sin embargo, un desarrollador full-stack llamado Andrey (alias @Causelof) señaló en un análisis publicado la semana pasada en la plataforma de blogs rusa Habr que su instancia de Gitea fue blanco de un actor de amenazas desconocido que utilizó la CVE-2026-60004 para desplegar un dropper similar a un minero de criptomonedas.

El incidente salió a la luz tras recibir una notificación por correo electrónico del proveedor de hosting HOSTKEY, indicando que su servidor virtual había estado utilizando más del 70% de la capacidad del procesador durante un período prolongado, violando los términos del servicio, lo que llevó al proveedor a limitar temporalmente los recursos de CPU disponibles para el VPS.

Específicamente, el usuario citó la siguiente configuración como responsable de impulsar la actividad:

• * DISABLE_REGISTRATION = false (Si el parámetro está habilitado, solo un administrador puede crear cuentas para usuarios)
• * REGISTER_EMAIL_CONFIRM = false (Si el parámetro está habilitado, solicita la confirmación del registro por correo electrónico)
• * ENABLE_OPENID_SIGNUP = true (El parámetro permite el registro a través de OpenID)
• * REQUIRE_SIGNIN_VIEW = false (Si el parámetro está habilitado, obliga a los usuarios a iniciar sesión para ver cualquier página o usar la API)

"El hecho de que el registro abierto esté habilitado aquí es significativo precisamente por su conexión con la vulnerabilidad", señaló Andrey. "Un nuevo usuario podría registrarse, crear su propio repositorio y obtener los permisos de escritura necesarios dentro de él. El SSH de Gitea no estaba expuesto al mundo exterior. El vector de ataque fue a través de HTTPS".

Antes de desplegar la carga útil del minero, se dice que el script dropper llevó a cabo los siguientes pasos:

• * Limpiar LD_PRELOAD y LD_LIBRARY_PATH
• * Buscar procesos con alto uso de CPU
• * Intentar finalizar procesos competidores
• * Obtener la carga útil basada en la arquitectura del sistema
• * Descargarla, escribirla en una ubicación del disco y ejecutarla
• * Eliminar el archivo después de la ejecución

La naturaleza exacta de la carga útil de la siguiente etapa no está clara, ya que el usuario dijo que no realizó un análisis de su contenido, añadiendo: "No tengo información confirmada sobre el pool de minería, la billetera, la familia de mineros o el operador específico". Sin embargo, el pico de uso de CPU coincide con una campaña de cryptojacking dirigida a instancias vulnerables de Gitea.

No está claro si CISA añadió el fallo al catálogo KEV debido a este ataque específico, o si ha descubierto pruebas de explotación dirigidas a servidores de Gitea no parcheados. Las agencias federales de EE. UU. deben parchear el fallo antes del 28 de agosto de 2026, priorizando las actualizaciones basándose en un enfoque de riesgo.

Fuente:
THN