Git: los repositorios maliciosos pueden ejecutar código durante clonaciones recursivas (CVE-2026-111760)

Qué ocurrió

El 11 de noviembre de 2026 el proyecto Git publicó nuevas versiones que corrigen seis fallos de seguridad. El más grave es CVE-2026-111760. Clonar un repositorio malicioso de forma recursiva, es decir, junto con sus submódulos, puede ejecutar el código del atacante en la máquina que realiza la clonación.

La causa es un truncamiento de enteros en la forma en que Git gestiona su índice. Una ruta muy larga supera la comprobación de seguridad de Git, pero después Git la escribe en disco con un nombre más corto. El atacante puede elegir ese nombre más corto. Así puede reemplazar el archivo .git de un submódulo por un enlace simbólico a un directorio que contiene hooks o una configuración maliciosos. Cuando Git utiliza después ese directorio, se ejecuta el código del atacante. La corrección hace que Git rechace estas rutas tan largas antes de que su longitud pueda truncarse.

Las mismas versiones corrigen otros cinco fallos:

• CVE-2026-113408: Al clonar un repositorio vacío mediante el protocolo Git v2, un servidor malicioso puede enviar un nombre de rama que contiene un recorrido de rutas (path traversal). Con el backend de referencias de tipo files, una actualización posterior de esa rama puede escribir fuera del directorio de referencias de Git.
• CVE-2026-114467: Fusionar una etiqueta que tiene más de dos firmas GPG corrompe la memoria de la pila y puede provocar una denegación de servicio. Los servicios de alojamiento que ejecutan estas fusiones para sus usuarios también pueden verse afectados.
• CVE-2026-114469: Un parche binario que se expande a un tamaño muy grande puede superar el límite de tamaño de parches de Git, de aproximadamente 1 GiB, y provocar un fallo de Git por una lectura fuera de límites.
• CVE-2026-105437: Una fusión muy grande con muchos conflictos y un atributo conflict-marker-size de gran valor puede hacer que Git escriba más allá del final de un búfer en el heap. GitLab indica que los servidores de alojamiento de código son los objetivos más probables, a través de git merge-tree, que los servidores ejecutan para comprobar si una solicitud de extracción o de fusión puede integrarse.
• CVE-2026-114466: Tres funciones de git fast-import (rewrite-submodules-from, rewrite-submodules-to y export-pack-edges) podían usarse para leer archivos arbitrarios, o para crear archivos y añadirles datos. Ahora Git las rechaza en un flujo de entrada a menos que se establezca --allow-unsafe-features.

Ninguna de las fuentes informa, por el momento, de ataques.

Quién está afectado

Están afectados todos los sistemas que ejecutan una versión de Git anterior a estas versiones corregidas: 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 y 2.50.2. En los servidores, lo más relevante es lo siguiente:

• Servidores de compilación, CI y despliegue que clonan repositorios de forma recursiva (git clone --recursive, --recurse-submodules o git submodule update --init), especialmente repositorios o submódulos de terceros. Para que CVE-2026-111760 funcione, el repositorio clonado debe ser malicioso. Si solo clona repositorios propios y de confianza, el riesgo es mucho menor, pero aun así debe actualizar.
• Servidores de alojamiento de Git autogestionados que ejecutan fusiones o comprobaciones de fusión sobre contenido enviado por los usuarios (CVE-2026-105437, CVE-2026-114467).
• GitHub Enterprise Server: las correcciones están en las versiones 3.19.15, 3.20.11, 3.21.9 y 3.22.4.
• Aplicaciones que incluyen su propia copia de Git. Necesitan una actualización de su proveedor.

No afectados: github.com y GitHub Enterprise Cloud. GitHub ya ha aplicado las correcciones en esos servicios. Los servidores web que tienen Git instalado pero nunca clonan ni fusionan contenido procedente del exterior no están expuestos en la práctica al fallo de clonación. Aun así, actualícelos durante su próximo mantenimiento.

Git para Windows no había publicado una versión basada en Git 2.56.1 a fecha del 10 de noviembre de 2026, a las 19:09 UTC. Los administradores de Windows deben estar atentos a esa publicación.

Qué hacer ahora

1. Compruebe la versión instalada en cada servidor con git --version.
2. Instale una versión corregida desde el gestor de paquetes de su sistema operativo (por ejemplo, apt update && apt install --only-upgrade git o dnf upgrade git). Las distribuciones suelen trasladar las correcciones a sus propias versiones de paquetes, así que consulte el aviso de seguridad de su distribución para localizar el paquete corregido. Si compila Git por su cuenta, actualice a 2.56.1 o a la versión corregida de su serie.
3. Actualice GitHub Enterprise Server a 3.19.15, 3.20.11, 3.21.9 o 3.22.4, según su línea de versiones. Actualice las demás aplicaciones que incluyan su propia copia de Git cuando su proveedor publique una corrección.
4. Hasta que todos los sistemas estén actualizados, siga las recomendaciones provisionales de GitHub. Estos pasos no sustituyen a la actualización:
   • Clone únicamente desde servidores de confianza.
   • No clone de forma recursiva repositorios que no sean de confianza.
   • No fusione contenido ni etiquetas que no sean de confianza.
   • No procese parches binarios ni flujos de fast-import procedentes de fuentes que no sean de confianza.
5. En los servidores de alojamiento de Git que todavía no puedan actualizarse, protéjase frente a CVE-2026-105437. Añada conflict-marker-size=7 al archivo info/attributes de cada repositorio, o desactive las comprobaciones de fusión para los repositorios no fiables.
6. Reinicie los servicios de larga ejecución que llaman a Git, como los runners de CI o los demonios de alojamiento de Git, para que usen el nuevo binario.

Cómo comprobar si está afectado

• Ejecute git --version. Las versiones anteriores a la versión corregida de su serie están afectadas: 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1, 2.55.1 o 2.56.1. En los paquetes de distribución, compare la versión del paquete con el aviso de su distribución en lugar de con el número de versión upstream.
• Busque en sus scripts de compilación y despliegue y en sus configuraciones de CI las cadenas --recursive, --recurse-submodules y submodule update. Compruebe qué repositorios que clonan proceden de terceros.
• Busque copias de Git fuera del gestor de paquetes, por ejemplo con which -a git. Revise también el Git incluido en los runners de CI, en los contenedores y en otras aplicaciones.

Fuentes

• https://nvd.nist.gov/vuln/detail/CVE-2026-111760
• https://thehackernews.com/2026/11/git-patches-flaw-that-lets-malicious.html