La vulnerabilidad CVE-2026-60004 abre la puerta a la ejecución remota de comandos en Gitea si un atacante cuenta con permisos de escritura en un repositorio. La corrección pasa por actualizar, se cita Gitea 1.27.1 como versión con parche, y por auditar de inmediato el uso de hooks de Git y los permisos de colaboradores.
Un fallo de seguridad catalogado como crítico en Gitea permite que un usuario con permisos de escritura en un repositorio acabe ejecutando comandos en el servidor que aloja la plataforma. La vulnerabilidad, registrada como CVE-2026-60004, se apoya en el abuso de hooks de Git, pequeños scripts que Git puede lanzar de forma automática en distintos momentos del ciclo de trabajo, y que en este caso pueden convertirse en una vía para introducir instrucciones de sistema.
El matiz clave es el requisito de acceso. El ataque no parte de un usuario anónimo, necesita una cuenta con capacidad real de subir cambios, por ejemplo un colaborador o cualquier rol con permisos de escritura. Aun así, ese escenario encaja con demasiada facilidad en proyectos con múltiples equipos, repositorios compartidos con terceras partes, o entornos donde se conceden permisos amplios por comodidad. En una herramienta de forja y gestión de código, ese tipo de atajos se pagan caros.
El riesgo se dispara en organizaciones que usan Gitea como pieza de su tooling interno. No es raro que el servidor tenga visibilidad sobre la red corporativa, acceso a almacenamiento compartido o, sobre todo, proximidad a secretos que mueven la maquinaria diaria, desde tokens de acceso a repositorios y registros de contenedores hasta credenciales de CI/CD o claves usadas en despliegues automatizados. Una ejecución de comandos en ese punto puede convertirse en el trampolín perfecto para moverse por la infraestructura.
La respuesta prioritaria pasa por aplicar la actualización con parche, se menciona Gitea 1.27.1 como versión corregida, y por revisar de inmediato la superficie que dejan abierta los hooks de Git. Si no resultan imprescindibles, conviene deshabilitarlos o restringir su uso al mínimo. También toca repasar qué repositorios aceptan colaboradores externos, ajustar permisos de escritura y, si existe cualquier indicio de actividad anómala, inspeccionar el almacenamiento relacionado con hooks en busca de scripts no autorizados.
La mención de una prueba de concepto eleva la urgencia operativa: cuando un fallo ya cuenta con demostraciones reproducibles, el margen de reacción se estrecha. En escenarios con sospecha de compromiso, además de la investigación y contención, conviene rotar credenciales y tokens a los que el servidor de Gitea pudiera acceder, especialmente los vinculados a automatización y despliegues, porque suelen abrir más puertas de las que aparentan.
Más información
- The Hacker News – New Gitea RCE Lets Repository Writers Plant a Git Hook to Run Shell Commands : https://thehackernews.com/2026/07/new-gitea-rce-lets-repository.html
- Gitea Blog – Gitea 1.27.0 is released : https://blog.gitea.com/release-of-1.27.0/
Deja una respuesta