Un usuario autodidacta detectó el sábado por la mañana que su instancia de Forgejo —un fork de Gitea para gestionar repositorios Git— había sido comprometida dos días antes mediante la vulnerabilidad CVE-2026-60004, un fallo de ejecución remota de código (RCE) recién divulgado que afecta al endpoint diffpatch de Gitea y, por extensión, a Forgejo. Las alertas de monitorización (Komodo y Pushover) mostraron que el contenedor de Forgejo consumía entre el 80% y el 95% de la CPU de un equipo que normalmente ronda el 4% en reposo.
El atacante, con IP 107.172.180.205, creó la cuenta testpoc26188 —aprovechando que los registros abiertos no estaban desactivados— y un repositorio (poc-78614) que contenía un hook malicioso. Tras tres peticiones al endpoint vulnerable, el intruso ejecutó un script que descargaba binarios específicos para x86_64, aarch64 y amd64 desde un servidor alojado en RackNerd. El análisis posterior confirmó, mediante VirusTotal, que los tres ejecutables son criptominadores conocidos. Los hashes SHA-256 de cada uno se incluyen en el artículo.
El autor identifica dos errores propios: no haber desactivado el registro público de usuarios y mantener Forgejo fijado a la versión v13, que quedó sin soporte en enero de 2026, sin actualizar a las ramas v15 LTS o v16 ya parchadas. El texto también documenta los indicadores de compromiso (varias llamadas POST a /api/v1/repos/USER/REPO/diffpatch) y los registros de acceso recogidos a través del proxy Pangolin.