CVE-2026-60004
Sfruttamento noto · CISA KEV
Data di correzione federale CISA 28 ago · data superata
Vulnerabilità ed exploit · Spionaggio APT
Red Heron ha colpito 13 organizzazioni in sei Paesi sfruttando Gitea CVE-2026-60004, trasformando un server di code hosting esposto in un punto di ingresso stabile nella rete. Acronis TRU ha collegato la campagna a compromissioni in Canada, Argentina, Taiwan, Stati Uniti, Qatar e Sri Lanka, con estensione fino a un cluster Proxmox a tre nodi.
Il gruppo non si è fermato al furto dei repository. Dai contenuti del server ha raccolto credenziali e altri materiali di accesso, poi li ha usati per muoversi lateralmente e mantenere la presenza. In pratica, il repository server è diventato la mappa per aprire altri sistemi e raggiungere anche il piano di controllo della virtualizzazione.
Per chi gestisce Gitea, CI/CD o build legati a repository, il punto non è solo la perdita di codice. Se nei repo o nelle configurazioni restano segreti riutilizzabili, un singolo compromesso può aprire accessi che toccano infrastrutture adiacenti, ambienti Proxmox e console amministrative interne.
2 fonti · 15 set
Sfruttamento noto · CISA KEV
Data di correzione federale CISA 28 ago · data superata
Industrial Cyber
Red Heron exploits Gitea RCE flaw in multinational campaign targeting industrial and government organizations - Industrial Cyber
Acronis details Red Heron exploits Gitea RCE flaw in multinational campaign targeting industrial and government organizations.
originaleThe Hacker News
Red Heron Exploits Gitea RCE to Compromise 13 Organizations Across Six Countries
Red Heron exploited Gitea CVE-2026-60004 to steal repositories, collect credentials, persist, and move laterally across victim networks
originalePart of the PlainSec briefing for 2026-09-15
Every edition of this story: Da Git ai privilegi root: Red Heron amplia il raggio d’azione