Уязвимость CVE-2026-111760 позволяет вредоносному репозиторию выполнить код на компьютере пользователя, который клонирует его вместе с подмодулями. Причина — ошибка усечения целого числа при обработке индекса Git: путь чрезвычайной длины проходит проверку безопасности, но при записи на диск становится короче. Злоумышленник может устроить так, чтобы результатом оказалось имя
Подмена особенно опасна внутри только что клонированного подмодуля. Там
Исправление вошло в Git 2.56.1, а также в поддерживаемые выпуски веток 2.50–2.55: Git 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1 и 2.55.1. Эти версии перечислены в объявлении о выпуске проекта Git.
GitHub опубликовал подробное описание исправлений и советует установить обновлённый Git через поставщика операционной системы или дистрибутив Git. Нужно также обновить приложения, которые включают собственную копию Git. Исправления уже применены на и GitHub Enterprise Cloud. Для GitHub Enterprise Server исправлены версии 3.19.15, 3.20.11, 3.21.9 и 3.22.4.
На момент проверки, во вторник в 19:09 UTC, Git for Windows ещё не выпустил версию на основе Git 2.56.1: The Hacker News проверил теги релизов проекта. Исправленные версии GitHub Desktop и приложения GitHub Copilot готовились; GitHub Codespaces и GitHub Actions также должны были получить обновлённый Git.
До установки исправления GitHub рекомендует клонировать репозитории только с доверенных серверов, не клонировать рекурсивно неизвестные проекты, не сливать недоверенные изменения или теги и не обрабатывать бинарные патчи и потоки
В тех же выпусках закрыты ещё пять уязвимостей. CVE-2026-113408 позволяет вредоносному серверу передать при клонировании пустого репозитория по протоколу Git v2 имя ветки с обходом путей. Если используется файловый backend ссылок, последующее обновление этой ветки может записать данные за пределами каталога ссылок Git.
CVE-2026-114467 связана со слиянием тега, подписанного более чем двумя GPG-подписями: операция может повредить стековую память Git и привести к отказу в обслуживании. Риск касается и хостинговых сервисов, которые выполняют такие слияния для пользователей. CVE-2026-114469 затрагивает чрезмерно большой бинарный патч: он способен обойти лимит размера патча примерно в 1 ГиБ, после чего Git может аварийно завершиться из-за чтения за границами памяти.
CVE-2026-105437 вызывает повреждение кучи памяти при крупном слиянии с множеством конфликтов и большим значением атрибута
CVE-2026-114466 затрагивает три возможности
.git. Изображение носит иллюстративный характер
Подмена особенно опасна внутри только что клонированного подмодуля. Там
.git — файл, а не каталог. Git не позволяет заменить символической ссылкой каталог .git, но файл можно подменить ссылкой на папку с вредоносными настройками или хуками Git. Хуки запускаются в определённые моменты работы Git; если программа использует подставленную папку, может выполниться код атакующего. Исправленные версии Git отклоняют чрезмерно длинные пути до того, как их длина будет усечена. Исправление вошло в Git 2.56.1, а также в поддерживаемые выпуски веток 2.50–2.55: Git 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1 и 2.55.1. Эти версии перечислены в объявлении о выпуске проекта Git.
GitHub опубликовал подробное описание исправлений и советует установить обновлённый Git через поставщика операционной системы или дистрибутив Git. Нужно также обновить приложения, которые включают собственную копию Git. Исправления уже применены на и GitHub Enterprise Cloud. Для GitHub Enterprise Server исправлены версии 3.19.15, 3.20.11, 3.21.9 и 3.22.4.
На момент проверки, во вторник в 19:09 UTC, Git for Windows ещё не выпустил версию на основе Git 2.56.1: The Hacker News проверил теги релизов проекта. Исправленные версии GitHub Desktop и приложения GitHub Copilot готовились; GitHub Codespaces и GitHub Actions также должны были получить обновлённый Git.
До установки исправления GitHub рекомендует клонировать репозитории только с доверенных серверов, не клонировать рекурсивно неизвестные проекты, не сливать недоверенные изменения или теги и не обрабатывать бинарные патчи и потоки
fast-import из ненадёжных источников. Эти меры временные и не заменяют обновление. В тех же выпусках закрыты ещё пять уязвимостей. CVE-2026-113408 позволяет вредоносному серверу передать при клонировании пустого репозитория по протоколу Git v2 имя ветки с обходом путей. Если используется файловый backend ссылок, последующее обновление этой ветки может записать данные за пределами каталога ссылок Git.
CVE-2026-114467 связана со слиянием тега, подписанного более чем двумя GPG-подписями: операция может повредить стековую память Git и привести к отказу в обслуживании. Риск касается и хостинговых сервисов, которые выполняют такие слияния для пользователей. CVE-2026-114469 затрагивает чрезмерно большой бинарный патч: он способен обойти лимит размера патча примерно в 1 ГиБ, после чего Git может аварийно завершиться из-за чтения за границами памяти.
CVE-2026-105437 вызывает повреждение кучи памяти при крупном слиянии с множеством конфликтов и большим значением атрибута
conflict-marker-size. По словам GitLab, присвоившего этой уязвимости номер CVE, наиболее вероятная цель атаки — серверы хостинга кода, использующие git merge-tree для проверки возможности принять pull request или merge request. Значение conflict-marker-size можно задать в закоммиченном файле .gitattributes. Если сервер учитывает атрибуты из репозитория, уязвимость может вызвать любой пользователь, способный отправить ветку и открыть запрос на слияние. До обновления GitLab советует записать conflict-marker-size=7 в info/attributes каждого репозитория либо отключить проверки слияния для недоверенных проектов. CVE-2026-114466 затрагивает три возможности
git fast-import: rewrite-submodules-from, rewrite-submodules-to и export-pack-edges. С их помощью можно читать произвольные файлы, создавать новые файлы и дописывать в них данные. Теперь Git отклоняет такие возможности во входном потоке, если запуск не содержит параметр --allow-unsafe-features.
