Security · 14.9.2026
Eine chinesische Hackergruppe nutzt eine RCE-Schwachstelle in der Git-Verwaltungssoftware Gitea aus, um gezielt Server von Unternehmen weltweit zu übernehmen.
Eine als "Red Heron" bekannte chinesische Bedrohungsgruppe nutzt derzeit aktiv eine kürzlich offengelegte Sicherheitslücke in der Git-Entwicklungsplattform Gitea aus. Bei einer weltweiten Kampagne scannten die Angreifer über 1.300 öffentlich erreichbare Gitea-Instanzen und konnten bereits mehrere Organisationen in verschiedenen Ländern erfolgreich kompromittieren. Durch die Ausnutzung dieser RCE-Schwachstelle (Remote Code Execution) ist es den Angreifern möglich, Schadcode auszuführen und tief in die betroffenen Netzwerke einzudringen.
Gitea ist insbesondere bei kleineren und mittleren Unternehmen (KMU) sowie im DevOps-Bereich in Deutschland, Österreich und der Schweiz eine beliebte, schlanke Alternative zu GitLab oder GitHub Enterprise. Da Entwicklungsplattformen oft direkten Zugriff auf proprietären Quellcode, API-Schlüssel, Passwörter und Deployment-Pipelines haben, stellt ein erfolgreicher Angriff auf diese Systeme ein massives Risiko für die gesamte Supply Chain eines Unternehmens dar. Sobald Angreifer die Kontrolle über eine Gitea-Instanz erlangen, können sie Schadcode direkt in die Software-Entwicklungsprozesse einschleusen oder vertrauliche Unternehmensdaten abziehen.
Administratoren und IT-Sicherheitsverantwortliche in DACH-Unternehmen müssen umgehend aktiv werden, um ihre Systeme zu schützen. Zunächst sollte geprüft werden, ob die eigene Gitea-Instanz über das öffentliche Internet erreichbar ist. Wenn dies der Fall ist, sollte der Zugriff temporär eingeschränkt (zum Beispiel via VPN oder IP-Whitelisting) und ein vollständiges Audit der Logdateien auf verdächtige Aktivitäten durchgeführt werden.
Zudem ist es zwingend erforderlich, die neueste, fehlerbereinigte Version von Gitea zu installieren, in der die zugrundeliegende RCE-Schwachstelle behoben wurde. Grundsätzlich empfiehlt es sich, Entwicklungs- und Code-Repositories niemals ohne zusätzliche Schutzbarrieren direkt im öffentlichen Netz zu betreiben.
Die Aktivitäten von Red Heron zeigen erneut, dass auch Open-Source-Tools im professionellen Umfeld ein primäres Ziel für hochentwickelte Angreifergruppen sind. Ein schnelles Patch-Management und restriktive Netzwerkzugriffe bleiben der beste Schutz gegen solche automatisierten Kampagnen.
Quelle: The Hacker News