Hacktron ha descritto una catena di vulnerabilità che, secondo il gruppo, avrebbe potuto essere utilizzata per compromettere i progetti ospitati sulla piattaforma di sviluppo GNU Savannah, incluso Bash.
Il gruppo afferma di aver utilizzato un indirizzo email contenente sintassi shell per ottenere l’esecuzione di codice sul backend di Savannah con qualsiasi account utente registrato. Hacktron ha quindi elevato il proprio account ai privilegi di superutente e si è spacciato per il manutentore di Bash.
Nell’ambito del test, il gruppo ha confermato di poter aggiungere una chiave SSH con l’autorizzazione a inviare modifiche al repository upstream di Bash. Questo accesso avrebbe potuto consentire a un aggressore di inserire codice dannoso nel progetto.
Hacktron riferisce inoltre che un kernel senza patch gli ha permesso di ottenere l’accesso root e raggiungere un server di backup GNU. Il gruppo afferma di aver informato la Free Software Foundation dei risultati l’11 maggio 2026.
Fonti: LWN.net.