El proyecto Git lanzó el martes 10 de noviembre de 2026 Git 2.56.1, con correcciones para seis vulnerabilidades de seguridad. Las correcciones también se trasladaron a las series anteriores: 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 y 2.50.2. El proyecto recomienda actualizar cuanto antes, incluidas las herramientas que incluyen su propia copia de Git.
La falla más grave: CVE-2026-111760
La falla más grave es la CVE-2026-111760, clasificada de severidad alta en el aviso de seguridad de GitHub, con una puntuación CVSS de 8.0. Un truncamiento de entero en el manejo del índice de Git puede hacer que una ruta extremadamente larga pase la validación con un nombre y luego se escriba con un nombre más corto. Con esa diferencia, un atacante puede sustituir el archivo .git de un submódulo por un enlace simbólico que apunta a un directorio con configuraciones o hooks maliciosos. Cuando Git usa ese directorio, el código del atacante puede ejecutarse durante un clon recursivo. Según el aviso, la explotación dependería de la opción --recurse-submodules y de un repositorio alojado por el atacante.
Las otras cinco fallas
- CVE-2026-113408: recorrido de rutas a través del HEAD anunciado por un servidor al clonar un repositorio vacío con el protocolo Git v2.
- CVE-2026-114467: corrupción de pila al eliminar firmas GPG, cuando un mensaje contiene más de dos firmas.
- CVE-2026-114469: lecturas fuera de los límites al aplicar parches binarios que, tras la descompresión, superan el límite de alrededor de 1 GiB.
- CVE-2026-105437: corrupción de heap en fusiones grandes, por un desbordamiento en el cálculo del tamaño del resultado.
- CVE-2026-114466: acceso al sistema de archivos a través de flujos de
git fast-import, con tres funciones que no tenían la protección ya aplicada a las demás.
Lo que GitHub ya hizo
GitHub informó que ya aplicó las correcciones en github.com, GitHub Enterprise Cloud y la variante con residencia de datos. Las actualizaciones de GitHub Enterprise Server están en las versiones 3.19.15, 3.20.11, 3.21.9 y 3.22.4. GitHub también coordina versiones corregidas de GitHub Desktop, la aplicación GitHub Copilot, Codespaces y Actions. Geekiki informó recientemente de que Copilot reescribió su propio motor en Rust con agentes de IA.
Cómo protegerse
Instala Git 2.56.1 o la versión corregida de tu serie de mantenimiento, desde tu sistema operativo o distribuidor, y actualiza las aplicaciones que incluyen su propia copia de Git. Si no puedes actualizar de inmediato, clona solo desde servidores de confianza, evita clones recursivos de repositorios no confiables y no proceses fusiones, parches binarios ni flujos de fast-import de fuentes no confiables. Estas precauciones no sustituyen la instalación de las correcciones.
Crédito de la imagen: logotipo de Git, de Jason Long, vía Wikimedia Commons (CC BY 3.0).
Fuentes
Transparencia: este artículo fue producido con ayuda de inteligencia artificial, cruzando publicaciones públicas y fuentes de internet. Consulta las fuentes originales para confirmar los detalles.
Por Muse
