GiteaのRCE脆弱性を突くサイバー攻撃、6カ国13組織で被害が確認　中国関連の脅威グループ「Red Heron」が関与か

要点

• 中国関連とみられる脅威グループ「Red Heron」が、オープンソースのGitリポジトリ管理ツール「Gitea」の重大な脆弱性（CVE-2026-60004）を悪用した多国籍規模のサイバー攻撃を展開している。
• セキュリティ企業Acronisの調査により、7カ国1,386台のインスタンスがスキャンされ、米国や台湾など6カ国で計13組織の侵害が確認された。
• 攻撃者は脆弱性の公開直後に公開PoCを自動化フレームワークへと改造し、リポジトリ窃取や痕跡消去を自動実行していた。
• 侵入後は仮想化基盤への管理者権限奪取のほか、Linuxの15種類の関数を改ざんして自身の活動を隠蔽する新型ルートキット「SIXZUT」などを配備していた。

リード文

シンガポールのサイバーセキュリティ企業Acronisの脅威研究ユニット（TRU）は、中国との関連が疑われるサイバー脅威アクター「Red Heron」が、セルフホスト型Git管理ツール「Gitea」の脆弱性を悪用した攻撃キャンペーンを展開していると発表した。2026年7月に公表されたリモートコード実行（RCE）の脆弱性を突き、インターネット上に公開されているサーバーを探索した上で、すでに6カ国・13の組織で侵入被害が発生していることが明らかになった。

6カ国13組織で確認された侵害と標的の傾向

Acronis TRUの分析によると、Red Heronは7カ国にわたる1,386台のGiteaインスタンスをスキャンしたほか、台湾に拠点を置く477台のシステムに関するデータセットを個別に管理していたという。

一連の活動を通じて、米国（4組織）、台湾（4組織）、カナダ（2組織）、アルゼンチン（1組織）、カタール（1組織）、スリランカ（1組織）の計6カ国・13組織での侵害が確認されている。標的となった分野は、防衛、選挙管理、エネルギー、航空宇宙、電気通信、政府機関、公共安全、研究機関など多岐にわたる。

攻撃者は管理用データ内で標的の分類に簡体字中国語を用いていた。Acronisは、簡体字の使用に加え、台湾を一貫して中国の一部として分類している点や、標的の選定が中国の諜報収集方針と合致していることから、中程度の確信度をもってRed Heronが中国関連のコンテキストで活動していると評価している。

脆弱性の即時兵器化と自動化フレームワークの構築

Red Heronが悪用したのは、2026年7月に開示されたGiteaのリモートコード実行脆弱性「CVE-2026-60004」である（RCE：遠隔から任意のプログラムを実行させる脆弱性）。

攻撃者は脆弱性の公表からわずか数日のうちに、公開されていた概念実証（PoC）コードを取り込み、7月29日には「exp_enhanced.py」と呼ばれるPython製の自動化フレームワークへと作り替えていた。このツールは、脆弱なサーバーに対するアカウント登録、悪用コードの実行、リポジトリの窃取、さらには活動痕跡の消去までを一貫して自動処理する機能を備えていた。

Acronisの研究者Subhajeet Singha氏によると、このフレームワーク開発にAIが使われた証拠は見当たらず、公開PoCやオープンソースツールを手作業で適応させたとみられる。Singha氏は、開発プラットフォームの既知の脆弱性（N-day脆弱性）が、いかに迅速にソースコードや機密情報の流出につながるかを示していると述べている。

仮想化基盤の掌握と新型Linuxルートキット「SIXZUT」

攻撃者の活動はコード窃取にとどまらず、持続的なアクセスの維持や認証情報の収集、内部ネットワークへの横展開へと進行していた。台湾の被害組織では、脆弱なGiteaサーバーへの侵入を足がかりに、3ノードで構成されたProxmoxクラスタ全体の最高管理者権限（ルート権限）を奪取される事例も確認された（Proxmox：仮想マシンなどを一元管理するオープンソースの仮想化基盤）。

攻撃者のステージングサーバーからは、Linux向けC++製インプラント「JITTERLY」が発見された。これはシェル実行やファイル転送、トンネリングなど30以上の遠隔操作コマンドを持ち、既存フレームワーク「AdaptixC2」との類似性が指摘されている。

さらに、バックドア内には未報告のLD_PRELOAD型ルートキット「SIXZUT」が組み込まれていた（LD_PRELOAD：指定した共有ライブラリを優先的に読み込ませるLinuxの仕組み）。SIXZUTは15種類のLinux関数にパッチを当ててファイルやプロセス、通信を不可視化し、活動痕跡を隠蔽するとともに、プロセスが停止・削除されても自動で再起動する機能を持つ。

過去の攻撃活動と流出データの実態

ステージングサーバーの調査では、Red Heronが今回の攻撃以前から同一インフラを用いていたことも判明した。攻撃者はGiteaの前に、別のスクリプトを用いて10カ国18件のJoomlaサイト（インドの留学コンサル企業や米国のIT保守事業者など）を標的にしていた。

また、アルゼンチンのクオンツ企業への情報収集や、台湾の産業オートメーション企業からのデータ流出も確認された。台湾企業からは、SCADA/HMIツール（産業機器の監視制御システム）やIoT連携、ネットワーク監視などに関する数百件のリポジトリが持ち出されていた。