Miles de instancias de Gitea accesibles desde Internet seguían sin parchear a finales de agosto frente a CVE-2026-60004, un fallo crítico que permite ejecución remota de comandos. La corrección llegó con Gitea 1.27.1 y el problema ya figura como explotación activa en el catálogo KEV de CISA.
El ecosistema de Gitea, una de las plataformas más usadas para alojar repositorios Git en entornos propios, afronta un problema serio: a 27 de agosto de 2026 aún había 8.393 instancias expuestas a Internet que seguían vulnerables a CVE-2026-60004, una brecha crítica con capacidad de ejecución remota de comandos. La situación preocupa por una razón evidente: no hablamos de un fallo teórico, ya se ha observado explotación activa y la ventana para aplicar la corrección se ha estrechado.
El defecto combina dos piezas que, juntas, permiten al atacante ejecutar órdenes en el servidor. Por un lado, se puede abusar del endpoint diffpatch para inyectar contenido. Por otro, ese contenido puede desembocar en la instalación y ejecución de un Git hook controlado desde el propio repositorio. El resultado final es un servidor que ejecuta comandos sin que el atacante necesite acceso previo al sistema operativo.
La ejecución no ocurre con privilegios de administrador, pero sí con los permisos de la cuenta que lanza el servicio, es decir, el usuario del sistema con el que corre Gitea. En muchos despliegues eso basta para abrir una vía de exfiltración: secretos de configuración, credenciales de base de datos, tokens de integraciones, credenciales OAuth y variables sensibles del entorno. El alcance real depende del aislamiento del despliegue y del modelo de permisos, especialmente si la instancia corre en un host compartido o con permisos generosos.
La explotación exige acceso de escritura a un repositorio, aunque aquí aparece el punto débil habitual: el registro de usuarios abierto viene activado por defecto en muchas instalaciones. Eso permite que un atacante se registre, cree un repositorio y complete la cadena de ataque sin credenciales previas, más aún si la alta no pide confirmación por correo ni aplica controles anti automatización.
El proyecto corrigió CVE-2026-60004 en Gitea 1.27.1, publicada el 27 de julio de 2026. Aun así, el volumen de instancias sin actualizar sugiere una superficie de ataque amplia, con especial exposición en servicios que publican su forja directamente en la red. Además, CISA incorporó el fallo el 25 de agosto al catálogo Known Exploited Vulnerabilities (KEV), una señal clara de que la amenaza ya se mueve en campañas activas, y fijó el 28 de agosto como fecha límite de remediación para agencias federales de Estados Unidos.
En algunos incidentes descritos, los atacantes aprovecharon el acceso para desplegar software de minado de criptomonedas en instalaciones con Docker. Ese patrón encaja con lo habitual en servicios expuestos: una intrusión rápida, monetización inmediata y persistencia mínima. Aun así, no hay confirmación pública de un actor concreto o una campaña atribuida oficialmente.
La respuesta recomendada pasa por actualizar Gitea como mínimo a 1.27.1 y, si el entorno lo permite, priorizar 1.27.2 para reducir riesgo operativo. Conviene cerrar el registro abierto si no resulta imprescindible o endurecerlo con confirmación por correo y CAPTCHA. También toca revisar posibles indicadores de compromiso: creación o ejecución anómala de Git hooks, patrones inusuales en el endpoint diffpatch, procesos con consumo sostenido de CPU y descargas de binarios desde la propia instancia.
Si existe sospecha de intrusión, la higiene básica se vuelve urgente: rotación de credenciales y secretos, desde claves de configuración y credenciales de base de datos hasta tokens de integraciones y secretos OAuth. Y, para reducir exposición futura, lo sensato es limitar el acceso por red, permitir solo rangos necesarios y reforzar el control de permisos de escritura.
En despliegues con Docker, merece la pena revisar el aislamiento del contenedor, recortar conectividad saliente y ajustar redes y permisos, porque una ejecución de comandos dentro del contenedor puede convertirse en un problema mayor si el entorno deja puertas abiertas. Además, quienes usen cabeceras de autenticación de proxy inverso deben comprobar su configuración: la imagen oficial de Docker de Gitea también aparece vinculada a un bypass de autenticación distinto, CVE-2026-20896, cuando se habilitan cabeceras como X-WEBAUTH-USER. En una forja de código, una sola grieta puede bastar para convertir un repositorio en un punto de entrada a toda la infraestructura.
Más información
- BleepingComputer – Over 8,300 Gitea servers vulnerable to code execution attacks : https://www.bleepingcomputer.com/news/security/over-8-300-gitea-servers-vulnerable-to-code-execution-attacks/
- Help Net Security – Critical Gitea vulnerability now exploited in the wild (CVE-2026-60004) : https://www.helpnetsecurity.com/2026/08/26/gitea-cve-2026-60004-exploited-in-the-wild/
- OpenCVE – CVE-2026-60004 – Vulnerability Details : https://opencve.alliance.unm.edu/cve/CVE-2026-60004
Deja una respuesta