La Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) anunció que una vulnerabilidad crítica de inyección de código en un servicio Git auto‑alojado está siendo explotada activamente. Registrada como CVE‑2026‑60004, esta falla de seguridad permite a un usuario autorizado con permiso de escritura en el repositorio ejecutar comandos arbitrarios del shell.
La vulnerabilidad permite enviar un parche malicioso al punto final diffpatch API, lo que instala un hook de Git y ejecuta comandos con los privilegios de la cuenta del servicio. Dado que la característica de registro está habilitada por defecto, un atacante que no se autentique puede crear una cuenta, iniciar un repositorio y activar la vulnerabilidad sin necesidad de credenciales. La empresa lanzó la versión 1.27.1 el 27 de julio para corregir el problema y Shadowserver sigue monitoreando aproximadamente 5 000 instancias en línea.
CISA obligó a las agencias civiles federales a aplicar un parche antes del 28 de agosto, concediéndoles un plazo de tres días, y se informó que los atacantes ya están ejecutando software de minería de criptomonedas en estos servidores. No obstante, no se dispone de información clara sobre cuántas instancias son trampas (honeypots) o ya están protegidas. Los expertos recomiendan una gestión de vulnerabilidades basada en riesgos, priorizando todas las vulnerabilidades críticas listadas en el catálogo KEV.