Miles de equipos que autoalojan Gitea para mantener el control de su código descubren que su forja es vulnerable a una ejecución remota de código. El verdadero problema: nadie parchea las herramientas "periféricas".

8 300 forjas Gitea expuestas a una RCE: ¿está su código fuente en la lista?

Qué está pasando

Gitea - la forja Git de código abierto ligera, alternativa a GitHub para quienes quieren mantener su código bajo control - se ve afectada por una vulnerabilidad de ejecución de código remoto. El detalle que pone los pelos de punta: al escanear Internet, los investigadores han identificado más de 8.300 instancias de Gitea vulnerables aún expuestas y sin parchear.

Una forja Git comprometida es el escenario de pesadilla en la cadena de suministro: el atacante accede a todo el código fuente alojado, a las claves de despliegue, a los secretos almacenados en los repositorios, a los webhooks conectados a los pipelines de CI/CD. La puerta de entrada a toda la infraestructura de desarrollo.

El síndrome de la forja olvidada

Gitea es popular precisamente por ser sencillo de instalar y ligero de ejecutar. Consecuencia directa: muchas instancias se instalan en minutos y luego se olvidan - accesibles desde Internet, sin actualizar, sin monitorización de seguridad.

El perfil típico de la instancia vulnerable: instalada hace varios meses para un proyecto, el equipo siguió trabajando en él, pero nadie integró las actualizaciones de seguridad de Gitea en el ciclo de mantenimiento - porque "solo es una herramienta de versionado".

Los riesgos concretos para una forja comprometida:

• Exfiltración completa del código fuente (incluyendo repositorios privados)
• Inyección de puertas traseras en el código o en los pipelines de CI/CD
• Robo de secretos almacenados en archivos de configuración o variables de entorno
• Acceso a las claves SSH de los desplegadores registradas en la interfaz

Qué hacer ahora

A hacer ahora

1. Verifique su versión de Gitea: interfaz de admin → Acerca de, o gitea -version. La versión parcheada se indica en las notas de lanzamiento de Gitea en GitHub.
2. Actualice sin demora - descargue la última versión estable, reemplace el binario, reinicie el servicio.
3. Evalúe la exposición: ¿su instancia responde desde Internet? Si es así y no es indispensable, colóquela tras un VPN o una regla de firewall por IP.
4. Escanee secretos expuestos: truffleHog o gitleaks para detectar credenciales en el historial de sus repositorios.
5. Revise sus webhooks e integraciones de CI: un atacante que haya tenido acceso podría haber añadido webhooks discretos - haga un inventario completo.
6. Establezca una vigilancia de seguridad: suscríbase a los lanzamientos de Gitea en GitHub (Watch → Releases only) para no volver a perderse un parche crítico.