Más de 8,300 instancias de Gitea siguen vulnerables a una falla crítica de inyección de código (CVE-2026-60004) que permite la ejecución remota de comandos. Los atacantes pueden aprovechar el registro abierto por defecto para crear cuentas y desplegar malware de minería de criptomonedas. Ante esto, CISA y Gitea instan a los usuarios a actualizar urgentemente a la versión 1.27.1.





Más de 8,300 instancias de Gitea expuestas a Internet aún no han sido parcheadas contra una falla de seguridad crítica explotada en ataques continuos de ejecución remota de código, según el observatorio de ciberseguridad Shadowserver.

La vulnerabilidad de inyección de código (CVE-2026-60004) targeted en estos ataques fue reportada por el investigador de seguridad de Salesforce, Shai Rod, y permite que atacantes autenticados ejecuten comandos de shell arbitrarios con los privilegios de la cuenta de servicio de Gitea mediante el envío de parches maliciosos a través del punto final de la API diffpatch.

Aunque la explotación exitosa requiere acceso de escritura a los repositorios alojados en servidores vulnerables, Gitea viene con el autoregistro habilitado por defecto, lo que permite que atacantes no autenticados registren una cuenta, creen un nuevo repositorio y activen la vulnerabilidad sin credenciales previas.

"El punto final diffpatch de Gitea puede ser abusado para instalar y ejecutar un hook de Git desde contenido controlado por el repositorio. Un atacante con acceso de escritura ordinario a un repositorio puede ejecutar comandos de shell arbitrarios como el usuario del SO de Gitea", explica el equipo de seguridad de Gitea en su aviso. "Con el registro abierto por defecto, un visitante no autenticado puede obtener el acceso de escritura requerido registrando una cuenta y creando un repositorio".

Gitea lanzó la versión 1.27.1 el 27 de julio para solucionar el CVE-2026-60004 y aconsejó a los usuarios actualizar sus servidores lo antes posible.

El viernes, el grupo observador de seguridad de Internet Shadowserver advirtió que casi 8,400 servidores de Gitea expuestos en línea siguen sin estar asegurados y permanecen vulnerables a los ataques en curso.

"Estamos escaneando/reportando instancias de Gitea vulnerables a CVE-2026-60004 (inyección de código), habiéndose encontrado 8393 IPs vulnerables el 2026-08-27", dijo Shadowserver en su publicación.