Minacce e avversari · Spionaggio APT

Da Git ai privilegi root: Red Heron amplia il raggio d’azione

Red Heron ha colpito 13 organizzazioni in sei Paesi sfruttando Gitea CVE-2026-60004, trasformando un server di code hosting esposto in un punto di ingresso stabile nella rete. Acronis TRU ha collegato la campagna a compromissioni in Canada, Argentina, Taiwan, Stati Uniti, Qatar e Sri Lanka, con estensione fino a un cluster Proxmox a tre nodi.

Il gruppo non si è fermato al furto dei repository. Dai contenuti del server ha raccolto credenziali e altri materiali di accesso, poi li ha usati per muoversi lateralmente e mantenere la presenza. In pratica, il repository server è diventato la mappa per aprire altri sistemi e raggiungere anche il piano di controllo della virtualizzazione.

Per chi gestisce Gitea, CI/CD o build legati a repository, il punto non è solo la perdita di codice. Se nei repo o nelle configurazioni restano segreti riutilizzabili, un singolo compromesso può aprire accessi che toccano infrastrutture adiacenti, ambienti Proxmox e console amministrative interne.

1 fonte · 5 ore fa

Cronologia

• 14 set Segnalato da The Hacker News
• 28 ago Scadenza federale CISA per CVE-2026-60004 superata
• 25 ago CVE-2026-60004 aggiunto al KEV CISA

Fonti

• 14 set The Hacker News

  Red Heron Exploits Gitea RCE to Compromise 13 Organizations Across Six Countries

  Red Heron exploited Gitea CVE-2026-60004 to steal repositories, collect credentials, persist, and move laterally across victim networks

  originale

Part of the PlainSec briefing for 2026-09-14

Every edition of this story: Da Git ai privilegi root: Red Heron amplia il raggio d’azione

Altro da oggi

• RubyGems finisce usato come piattaforma d’attacco autonoma
• Claude è entrato nel loop di evasione di Midnight Blizzard
• Un account verificato HBO Max diventa un canale malware