Minacce · 4 ore fa

Da Git ai privilegi root: Red Heron amplia il raggio d’azione

Red Heron ha colpito 13 organizzazioni in sei Paesi sfruttando Gitea CVE-2026-60004, trasformando un server di code hosting esposto in un punto di ingresso stabile nella rete. Acronis TRU ha collegato la campagna a compromissioni in Canada, Argentina, Taiwan, Stati Uniti, Qatar e Sri Lanka, con estensione fino a un cluster Proxmox a tre nodi.

Il gruppo non si è fermato al furto dei repository. Dai contenuti del server ha raccolto credenziali e altri materiali di accesso, poi li ha usati per muoversi lateralmente e mantenere la presenza. In pratica, il repository server è diventato la mappa per aprire altri sistemi e raggiungere anche il piano di controllo della virtualizzazione.

Per chi gestisce Gitea, CI/CD o build legati a repository, il punto non è solo la perdita di codice. Se nei repo o nelle configurazioni restano segreti riutilizzabili, un singolo compromesso può aprire accessi che toccano infrastrutture adiacenti, ambienti Proxmox e console amministrative interne.

CVE-2026-60004

NVD KEV

Sfruttamento noto · CISA KEV

Data di correzione federale CISA 28 ago · data superata

Cronologia

14 set Segnalato da The Hacker News
28 ago Scadenza federale CISA per CVE-2026-60004 superata
25 ago CVE-2026-60004 aggiunto al KEV CISA

Fonti

1 fonte che coprono questa storia

The Hacker News 14 set
Red Heron Exploits Gitea RCE to Compromise 13 Organizations Across Six Countries
Red Heron exploited Gitea CVE-2026-60004 to steal repositories, collect credentials, persist, and move laterally across victim networks

Entità

CVE-2026-60004
Red Heron

Part of the PlainSec briefing for 2026-09-14

Editions

Briefing for 2026-09-14

Storie correlate

Minacce · 4 ore faDa Git ai privilegi root: Red Heron amplia il raggio d’azioneRed Heron ha colpito 13 organizzazioni in sei Paesi sfruttando Gitea CVE-2026-60004, trasformando un server di code hosting esposto in un punto di ingresso stabile nella rete. Acronis TRU ha collegato la campagna a compromissioni in Canada, Argentina, Taiwan, Stati Uniti, Qatar e Sri Lanka, con estensione fino a un cluster Proxmox a tre nodi.Il gruppo non si è fermato al furto dei repository. Dai contenuti del server ha raccolto credenziali e altri materiali di accesso, poi li ha usati per muoversi lateralmente e mantenere la presenza. In pratica, il repository server è diventato la mappa per aprire altri sistemi e raggiungere anche il piano di controllo della virtualizzazione.Per chi gestisce Gitea, CI/CD o build legati a repository, il punto non è solo la perdita di codice. Se nei repo o nelle configurazioni restano segreti riutilizzabili, un singolo compromesso può aprire accessi che toccano infrastrutture adiacenti, ambienti Proxmox e console amministrative interne.