Hacktron ha descrito una cadena de vulnerabilidades que, según el grupo, podría haberse utilizado para comprometer proyectos alojados en la forja de desarrollo GNU Savannah, incluido Bash.
El grupo afirma que utilizó una dirección de correo electrónico que contenía sintaxis de shell para obtener ejecución de código en el backend de Savannah con cualquier cuenta de usuario registrada. Posteriormente, Hacktron elevó su cuenta a privilegios de superusuario y suplantó al mantenedor de Bash.
Como parte de la prueba, el grupo confirmó que podía añadir una clave SSH con permisos para enviar cambios al repositorio original de Bash. Este acceso podría haber permitido a un atacante insertar código malicioso en el proyecto.
Hacktron también informa de que un kernel sin parchear le permitió obtener acceso root y llegar a un servidor de copias de seguridad de GNU. El grupo afirma que notificó los hallazgos a la Free Software Foundation el 11 de mayo de 2026.
Fuentes: LWN.net.