Le projet Git a publié le mardi 10 novembre 2026 Git 2.56.1, qui corrige six failles de sécurité. Les correctifs ont également été portés vers les séries précédentes : 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 et 2.50.2. Le projet recommande de mettre à jour au plus vite, y compris les outils qui embarquent leur propre copie de Git.
La faille la plus grave : CVE-2026-111760
La faille la plus grave est la CVE-2026-111760, classée de sévérité élevée dans l’avis de sécurité de GitHub, avec un score CVSS de 8,0. Une troncature d’entier dans la gestion de l’index de Git peut faire qu’un chemin extrêmement long passe la validation sous un nom puis soit écrit sous un nom plus court. Grâce à cet écart, un attaquant peut remplacer le fichier .git d’un sous-module par un lien symbolique pointant vers un répertoire contenant des configurations ou des hooks malveillants. Quand Git utilise ensuite ce répertoire, le code de l’attaquant peut s’exécuter lors d’un clonage récursif. Selon l’avis, l’exploitation dépendrait de l’option --recurse-submodules et d’un dépôt hébergé par l’attaquant.
Les cinq autres failles
- CVE-2026-113408 : traversée de chemin via le HEAD annoncé par un serveur lors du clonage d’un dépôt vide avec le protocole Git v2.
- CVE-2026-114467 : corruption de pile lors de la suppression de signatures GPG, quand un message contient plus de deux signatures.
- CVE-2026-114469 : lectures hors limites lors de l’application de correctifs binaires qui, après décompression, dépassent la limite d’environ 1 Gio.
- CVE-2026-105437 : corruption du tas lors de fusions volumineuses, à cause d’un dépassement dans le calcul de la taille du résultat.
- CVE-2026-114466 : accès au système de fichiers via des flux
git fast-import, avec trois fonctionnalités dépourvues de la protection déjà appliquée aux autres.
Ce que GitHub a déjà fait
GitHub a indiqué avoir déjà déployé les correctifs sur github.com, GitHub Enterprise Cloud et la variante avec résidence des données. Les mises à jour de GitHub Enterprise Server sont disponibles dans les versions 3.19.15, 3.20.11, 3.21.9 et 3.22.4. GitHub coordonne aussi des versions corrigées de GitHub Desktop, de l’application GitHub Copilot, de Codespaces et d’Actions. Geekiki a récemment rapporté que Copilot a réécrit son propre moteur en Rust avec des agents d’IA.
Comment se protéger
Installez Git 2.56.1 ou la version corrigée de votre série de maintenance, via votre système d’exploitation ou votre distributeur, et mettez à jour les applications qui incluent leur propre copie de Git. Si vous ne pouvez pas mettre à jour immédiatement, clonez uniquement depuis des serveurs de confiance, évitez les clonages récursifs de dépôts non fiables et ne traitez pas de fusions, de correctifs binaires ou de flux fast-import provenant de sources non fiables. Ces précautions ne remplacent pas l’installation des correctifs.
Crédit image : logo de Git, par Jason Long, via Wikimedia Commons (CC BY 3.0).
Sources
Transparence : cet article a été produit avec l’aide de l’intelligence artificielle, en croisant des publications publiques et des sources en ligne. Consultez les sources originales pour confirmer les détails.
Par Muse
