【 資安警訊 】- 中國駭客 Red Heron 利用 Gitea 重大漏洞入侵臺灣，工業自動化業者遭竊數百個程式碼儲存庫
發布編號：OIS-CTI-2026-09-004
情資來源：iThome
事件類型：攻擊活動警訊公告
內容說明：
資安公司 Acronis 揭露，中國駭客組織 Red Heron 在 Gitea 重大漏洞 CVE-2026-60004 修補後數日內即展開大規模攻擊，臺灣多個組織受害，其中一家工業自動化業者遭竊數百個程式碼儲存庫，另一起案例更遭橫向移動至 Proxmox 虛擬化叢集。
Gitea 開發團隊於 7 月 27 日發布 1.27.1 版，修補存在於 diffpatch API 的重大遠端程式碼執行漏洞 CVE-2026-60004（CVSS 9.8）。由於 Gitea 預設開放使用者自行註冊帳號，攻擊者只需註冊帳號並建立儲存庫，即可透過該 API 於伺服器植入惡意 Git Hook 並執行任意指令，無須事先取得任何憑證。CISA 已於 8 月 25 日將此漏洞列入已遭利用漏洞（KEV）目錄。
資安公司 Acronis 指出，中國駭客組織 Red Heron 在概念驗證程式碼公開後短短數日內，即利用該程式碼打造自動化攻擊框架，可自動於 Gitea 註冊帳號、觸發漏洞、竊取儲存庫內容，並清除特定追蹤記錄，同時嘗試植入 Linux 惡意程式 Jitterly 與 Sixzut。Red Heron 於包含臺灣在內的 7 個國家掃描 1,386 個暴露在網際網路上的 Gitea 執行個體，並維護一份涵蓋 477 個臺灣系統的目標資料庫，以簡體中文標籤依國防、選舉、能源、航太、電信、政府與研究等類別分類目標組織。
受害案例中，一家臺灣工業自動化業者遭攻擊者從單一主機竊取數百個程式碼儲存庫，內容涵蓋監控產品、工業控制環境使用的 SCADA／HMI 工具、IoT 平臺整合、網路封包側錄工具、伺服器組態與內部企業應用程式，是此波攻擊中確認遭竊資料量最大的案例；該主機上並發現超過 130 個攻擊工具執行後留下的「poc-*」目錄，顯示曾遭多次攻擊。
另一家臺灣工業自動化業者的入侵案例中，攻擊者取得初始存取權限後進一步橫向移動，是此波攻擊中滲透最深入的案例。Acronis 在一臺位於新竹、運行 Gitea 的 Synology NAS 上發現，Red Heron 先利用 CVE-2026-60004 取得遠端程式碼執行權限，其後取得 Proxmox 的 root 帳號登入憑證，掌握叢集管理 API 的完整管理權限，並將酬載上傳至 3 個 Proxmox 節點，透過 vzdump 工具啟動虛擬機器備份作業，若備份成功，攻擊者可能取得的不只是 Gitea 儲存庫，而是完整的虛擬機器磁碟映像。
除上述已確認案例外，Acronis 發現攻擊者已整理一份包含 477 個臺灣 Gitea 實例的目標清單，並於 8 月 3 日從中挑選 50 個目標發動攻擊；這波攻擊的資料外傳結果不一，部分目標因連線逾時而傳輸失敗，Acronis 並未公布實際成功入侵或竊得資料的確切數量。
影響平台：
受影響的產品包括
Gitea 自建服務（1.17 版至 1.27.0 之前所有版本，含開放自行註冊帳號的預設組態）
與 Gitea 主機存在憑證共用或網路可達關係的周邊系統（如 Proxmox 虛擬化平臺、NAS 裝置等，可能因橫向移動遭波及）
建議措施：
使用自建 Gitea 的單位應立即升級至 1.27.1 或更高版本；若一時無法升級，應暫時停用或限制存取 diffpatch API，並關閉非必要的使用者自行註冊功能，避免攻擊者以匿名帳號觸發漏洞。同時建議清查 Gitea 主機是否存在可疑帳號、非預期的 Git Hook、大量或異常的 API 呼叫，以及主機上是否留有「poc-*」等攻擊工具殘留目錄；由於此波攻擊已出現橫向移動至 Proxmox 等虛擬化平臺的案例，應檢視 Gitea 服務帳號與虛擬化管理平臺、NAS 等周邊系統間的帳密是否重複使用，並落實網段隔離與最小權限存取，降低單點淪陷後擴大災情的風險。
參考連結 ：
https://www.ithome.com.tw/news/179107