veilletech.frCe qui se passe
L'unité de recherche d'Acronis (TRU) publie l'analyse d'une campagne attribuée avec une confiance modérée à un acteur lié à la Chine, suivi sous le nom Red Heron. Son point d'entrée : CVE-2026-60004, une exécution de code à distance dans Gitea, divulguée en juillet 2026 et déjà corrigée.
Le chiffre qui compte n'est pas celui de la faille, mais celui du délai. Une
preuve de concept publique a été mise en ligne sur GitHub
(HORKimhab/CVE-2026-60004) ; dès le 29 juillet 2026, elle était devenue
exp_enhanced.py, un cadre d'exploitation Python automatisé qui enregistre un
compte, exploite le serveur, clone les dépôts et efface une partie des traces.
L'ampleur, en chiffres
- 1 386 instances Gitea scannées dans sept pays, plus un jeu de données séparé de 477 systèmes basés à Taïwan ;
- 13 compromissions confirmées : Taïwan (4), États-Unis (4), Canada (2), Argentine (1), Qatar (1), Sri Lanka (1) ;
- cibles classées avec des libellés en chinois simplifié, couvrant la défense, les élections, l'énergie, l'aérospatiale, les télécommunications, le gouvernement, la sécurité publique et la recherche ;
- la même infrastructure avait auparavant servi contre 18 sites Joomla dans
dix pays, via un script
exp.py.
Pourquoi un Gitea compromis coûte plus cher qu'il n'y paraît
Le vol du code source est la première étape, pas la dernière. Dans un environnement taïwanais, l'attaquant est passé du serveur Gitea à un accès root sur un cluster Proxmox de trois nœuds. Chez une entreprise canadienne d'énergie renouvelable, ce sont les dépôts, les secrets de configuration, les jetons internes et les clés d'hôte SSH qui ont été exfiltrés. Chez un industriel taïwanais, des centaines de dépôts liés à un outil SCADA/HMI, à des intégrations IoT et à un produit de vidéosurveillance.
Le chercheur Subhajeet Singha résume l'enjeu : la campagne montre « à quelle vitesse des vulnérabilités N-day dans des plateformes de développement auto-hébergées peuvent exposer code source, identifiants, secrets et infrastructure connectée ».
Deux outils accompagnent la persistance :
| Outil | Nature | Ce qu'il fait |
|---|---|---|
| JITTERLY | implant Linux en C++ | plus de 30 commandes de post-exploitation (shell, transfert de fichiers, tunnels réseau, pivot interne) ; documenté en juillet 2026 par « dmpdump », proche d'AdaptixC2 |
| SIXZUT | rootkit LD_PRELOAD, inédit |
patche 15 fonctions pour masquer fichiers, processus et connexions, et se relance s'il est supprimé |
Ce que ça change pour vous
Singha précise à The Hacker News qu'aucun indice ne montre le recours à l'IA pour bâtir le cadre d'exploitation : du code public réassemblé a suffi. C'est la partie inconfortable — le niveau d'entrée est bas, et le délai entre une divulgation et son industrialisation se compte en jours.
- Mettez Gitea à jour ; vérifiez que votre version est postérieure au correctif de CVE-2026-60004.
- Retirez l'instance de l'internet public : derrière un VPN ou un proxy authentifiant, le scan de masse ne la voit plus.
- Considérez comme exposé tout ce qu'un dépôt a pu contenir — clés SSH, jetons de CI, chaînes de connexion — et faites-les tourner.
- Cherchez les créations de compte non sollicitées : l'enregistrement d'un utilisateur est la première étape du cadre automatisé.
À retenir
Une faille corrigée n'est dangereuse que pour ceux qui n'ont pas corrigé — et c'est justement la population que scanne un acteur qui automatise. Un serveur Git auto-hébergé sur internet est une cible à haute valeur : il concentre le code, les secrets et les accès aux machines qui le déploient.