Ne oldu?
The Hacker News’in 14 Eylül 2026 aktarımına göre Acronis Threat Research Unit, “Red Heron” diye izlenen bir kümenin Gitea’daki kritik bir uzaktan kod yürütme zafiyetini (CVE-2026-60004) hızla silaha çevirdiğini bildiriyor. Küme, yedi ülkede 1.386 Gitea örneğini taramış; ayrıca Tayvan’daki 477 sistemi ayrı bir listede tutmuş. Doğrulanan ihlaller Kanada, Arjantin, Tayvan, ABD, Katar ve Sri Lanka’da — toplam 13 kurum — savunma, seçim, enerji, havacılık, telekom, kamu güvenliği ve araştırma etiketleriyle sınıflandırılmış.
Bu bir “meraklı hobi saldırısı” profili değil. Hedef seçimi, Simplified Chinese etiketler ve Tayvan’ı Çin’in parçası sayan sınıflandırma, Acronis’in orta güvenle Çin bağlantılı istihbarat toplama öncelikleriyle ilişkilendirmesine yol açmış. Kampanya depo çalmaktan kalıcı erişime, kimlik bilgisi toplamaya ve yanal harekete kadar ilerlemiş; bir Tayvan ortamında üç düğümlü bir Proxmox kümesine kök düzey erişim anlatılıyor.
Self-host vaadi, açık kapı gerçeği
Gitea gibi self-host kod platformları, “buluta mahkûm olmayalım” diyerek kurulan altyapının omurgası. Ama internete çıplak bırakılmış, gecikmeli yamalanmış bir örnek; kaynak kodu, CI sırları, SSH anahtarları ve bağlı iç uygulamalar için hazır bir ambar. Acronis’in özetlediği gibi, kamuya düşen bir kanıt-kavram kodunun günler içinde otomatik tarama ve depo yağmasına dönüşmesi, N-day ekonomisinin temposunu gösteriyor: yama notu çıktığı anda, yamasız sunucu dünya tarayıcılarının listesine girer.
Burada teknik “nasıl yapılır” anlatılmayacak. Anlatılacak olan sınıfsal gerçek şu: küçük ekipler ve kamu araştırmacıları self-host ile bağımsızlık ararken, gecikmeli güncelleme ve “geçici olarak dışarı açalım” alışkanlığı, kodu ve sırları daha büyük aktörlerin istihbarat stokuna taşıyabiliyor. Kaynak kodu ortak üretim olabilir; çalınmış sırlar ise işçinin, aktivistin ve kamunun aleyhine çalışır.
Savunma: sıkıcı ama işe yarayan
İnternete açık Gitea/GitLab benzeri örnekleri envantere alın. CVE-2026-60004 ve sonraki güvenlik bültenlerini uygulayın; mümkünse yönetim arayüzünü VPN veya IP kısıtı arkasına alın. Genel erişimli proje zorunlu değilse kapatın. Depolarda gömülü token, bulut anahtarı ve .env artıkları için tarama yapın; sızdırılmış olabilecek sırları döndürün. Proxmox, CI ve yedek sunucuları aynı “tek zayıf halka” zincirine bağlamayın: kod deposu düştüyse yanındaki hipervizörün de düştüğünü varsayın.
Kalıcı erişim iddiaları (Linux implant / gizleme katmanları) varsa, yalnızca antivirüs değil; bütünlük izleme, beklenmeyen servisler ve dışarı giden tüneller de kontrol listesine girer. Şüphede yedekten temiz kurulum, “temizlik scripti”nden daha güvenilirdir.
Sonuç
Red Heron dosyası, “açık kaynak güvenlidir” sloganını değil, “açık ve yamasız sunucu istihbarat için ucuzdur” gerçeğini hatırlatıyor. Kodun ortak alanda yaşaması ile sırların sızdırılması aynı şey değil. Self-host eden ekipler için dayanışma, birbirine yama temposu ve envanter paylaşımıdır — geri kalanı, gecikmenin bedelini başkalarının depolarında ödemektir.
Kaynak: The Hacker News / Acronis TRU (14 Eylül 2026).
