A Hacktron descreveu uma cadeia de vulnerabilidades que, segundo o grupo, poderia ter sido usada para comprometer projetos hospedados na forja de desenvolvimento GNU Savannah, incluindo o Bash.
O grupo afirma que usou um endereço de e-mail contendo sintaxe de shell para obter execução de código no backend do Savannah com qualquer conta de usuário registrada. Em seguida, a Hacktron elevou sua conta a privilégios de superusuário e se passou pelo responsável pela manutenção do Bash.
Como parte do teste, o grupo confirmou que poderia adicionar uma chave SSH com permissão para enviar alterações ao repositório upstream do Bash. Esse acesso poderia ter permitido que um invasor inserisse código malicioso no projeto.
A Hacktron também relata que um kernel sem correção permitiu obter acesso root e alcançar um servidor de backup do GNU. O grupo afirma que notificou a Free Software Foundation sobre as descobertas em 11 de maio de 2026.
Fontes: LWN.net.