O projeto Git lançou na terça-feira, 10 de novembro de 2026, o Git 2.56.1, com correções para seis falhas de segurança. As correções também foram portadas para as séries anteriores: 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 e 2.50.2. A recomendação do projeto é atualizar o quanto antes, incluindo as ferramentas que embutem a própria cópia do Git.
A falha mais grave: CVE-2026-111760
A falha mais séria é a CVE-2026-111760, classificada como de severidade alta no aviso de segurança do GitHub, com pontuação CVSS 8.0. Um truncamento de inteiro no tratamento do índice do Git pode fazer um caminho extremamente longo passar na validação com um nome e depois ser gravado com um nome mais curto. Com essa diferença, um atacante pode substituir o arquivo .git de um submódulo por um link simbólico que aponta para um diretório com configurações ou hooks maliciosos. Quando o Git usa esse diretório, o código do atacante pode ser executado durante um clone recursivo. Segundo o aviso, a exploração dependeria do uso da opção --recurse-submodules e de um repositório hospedado pelo atacante.
As outras cinco falhas
- CVE-2026-113408: travessia de caminho pelo HEAD anunciado por um servidor ao clonar um repositório vazio com o protocolo Git v2.
- CVE-2026-114467: corrupção de pilha ao remover assinaturas GPG, quando uma mensagem contém mais de duas assinaturas.
- CVE-2026-114469: leituras fora dos limites ao aplicar patches binários que, após descompressão, ultrapassam o limite de cerca de 1 GiB.
- CVE-2026-105437: corrupção de heap em merges grandes, por estouro no cálculo do tamanho do resultado.
- CVE-2026-114466: acesso ao sistema de arquivos por fluxos de
git fast-import, com três recursos que não tinham a proteção já aplicada aos demais.
O que o GitHub já fez
O GitHub informou que já aplicou as correções no github.com, no GitHub Enterprise Cloud e na variante com residência de dados. As atualizações do GitHub Enterprise Server estão nas versões 3.19.15, 3.20.11, 3.21.9 e 3.22.4. O GitHub também coordena versões corrigidas do GitHub Desktop, do aplicativo GitHub Copilot, do Codespaces e do Actions. Sobre o Copilot, o Geekiki noticiou recentemente que ele reescreveu o próprio motor em Rust com agentes de IA.
Como se proteger
Instale o Git 2.56.1 ou a versão corrigida da sua série de manutenção, a partir do seu sistema operacional ou distribuidor, e atualize as aplicações que incluem a própria cópia do Git. Se não for possível atualizar de imediato, clone apenas de servidores confiáveis, evite clones recursivos de repositórios não confiáveis e não processe merges, patches binários ou fluxos de fast-import de fontes não confiáveis. Essas precauções não substituem a instalação das correções.
Crédito da imagem: logotipo do Git, de Jason Long, via Wikimedia Commons (CC BY 3.0).
Fontes
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, com cruzamento de publicações públicas e fontes da internet. Consulte as fontes originais para confirmar os detalhes.
Por Muse
