Git: repositórios maliciosos podem executar código durante clones recursivos (CVE-2026-111760)

O que aconteceu

Em 11 de novembro de 2026, o projeto Git lançou novas versões que corrigem seis falhas de segurança. A mais grave é a CVE-2026-111760. Clonar recursivamente um repositório malicioso, ou seja, junto com os seus submódulos, pode executar o código do atacante na máquina que faz o clone.

A causa é um truncamento de inteiro na forma como o Git trata o seu índice. Um caminho muito longo passa na verificação de segurança do Git, mas o Git depois o grava no disco com um nome mais curto. O atacante pode escolher esse nome mais curto. Assim, ele consegue substituir o arquivo .git de um submódulo por um link simbólico para um diretório que contém hooks ou configurações maliciosas. Quando o Git usa esse diretório, o código do atacante é executado. A correção faz o Git rejeitar esses caminhos muito longos antes que o tamanho deles possa ser cortado.

As mesmas versões corrigem outras cinco falhas:

• CVE-2026-113408: Ao clonar um repositório vazio pelo protocolo Git v2, um servidor malicioso pode enviar um nome de branch que contém path traversal. Com o backend de referências em arquivos, uma atualização posterior dessa branch pode gravar fora do diretório de referências do Git.
• CVE-2026-114467: Mesclar uma tag que tem mais de duas assinaturas GPG corrompe a memória da pilha e pode causar negação de serviço. Serviços de hospedagem que executam essas mesclagens para seus usuários também podem ser afetados.
• CVE-2026-114469: Um patch binário que se expande para um tamanho muito grande pode ultrapassar o limite de tamanho de patch do Git, de cerca de 1 GiB, e fazer o Git travar com uma leitura fora dos limites.
• CVE-2026-105437: Uma mesclagem muito grande, com muitos conflitos e um atributo conflict-marker-size grande, pode fazer o Git escrever além do fim de um buffer no heap. A GitLab informa que os servidores de hospedagem de código são os alvos mais prováveis, por meio de git merge-tree, que os servidores executam para verificar se um pull ou merge request pode ser mesclado.
• CVE-2026-114466: Três recursos do git fast-import (rewrite-submodules-from, rewrite-submodules-to e export-pack-edges) podiam ser usados para ler arquivos arbitrários, ou para criar arquivos e adicionar dados a eles. Agora o Git os rejeita em um fluxo de entrada, a menos que --allow-unsafe-features esteja definido.

Nenhuma das fontes relata ataques até o momento.

Quem é afetado

São afetados todos os sistemas que executam uma versão do Git anterior a estas versões corrigidas: 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 e 2.50.2. Em servidores, estes casos são os mais importantes:

• Servidores de build, CI e implantação que clonam repositórios recursivamente (git clone --recursive, --recurse-submodules ou git submodule update --init), especialmente repositórios ou submódulos de terceiros. Para que a CVE-2026-111760 funcione, o repositório clonado precisa ser malicioso. Se você clona apenas repositórios próprios e confiáveis, o risco é bem menor, mas você ainda deve atualizar.
• Servidores de hospedagem Git autogerenciados que executam mesclagens ou verificações de merge sobre conteúdo enviado por usuários (CVE-2026-105437, CVE-2026-114467).
• GitHub Enterprise Server: as correções estão nas versões 3.19.15, 3.20.11, 3.21.9 e 3.22.4.
• Aplicações que distribuem sua própria cópia do Git. Elas precisam de atualização do fornecedor.

Não afetados: github.com e GitHub Enterprise Cloud. O GitHub já aplicou as correções nesses serviços. Servidores web que têm o Git instalado, mas nunca clonam ou mesclam conteúdo de fora, não ficam expostos à falha de clone na prática. Ainda assim, atualize-os durante a sua próxima manutenção.

O Git para Windows não havia lançado uma versão baseada no Git 2.56.1 até 10 de novembro de 2026, às 19:09 UTC. Administradores Windows devem acompanhar esse lançamento.

O que fazer agora

1. Verifique a versão instalada em cada servidor com git --version.
2. Instale uma versão corrigida pelo gerenciador de pacotes do seu sistema operacional (por exemplo, apt update && apt install --only-upgrade git ou dnf upgrade git). As distribuições costumam portar as correções para as próprias versões de pacote, então consulte o aviso de segurança da sua distribuição para encontrar o pacote corrigido. Se você compila o Git por conta própria, atualize para a 2.56.1 ou para a versão corrigida da sua série.
3. Atualize o GitHub Enterprise Server para 3.19.15, 3.20.11, 3.21.9 ou 3.22.4, conforme a sua linha de lançamento. Atualize as demais aplicações que distribuem sua própria cópia do Git assim que o fornecedor lançar uma correção.
4. Até que todos os sistemas estejam atualizados, siga a orientação provisória do GitHub. Estes passos não substituem a atualização:
   • Clone apenas de servidores em que você confia.
   • Não clone recursivamente repositórios que você não conhece.
   • Não mescle conteúdo ou tags em que você não confia.
   • Não processe patches binários nem fluxos de fast-import de fontes em que você não confia.
5. Em servidores de hospedagem Git que ainda não podem ser atualizados, proteja-se contra a CVE-2026-105437. Adicione conflict-marker-size=7 ao arquivo info/attributes de cada repositório, ou desative as verificações de merge para repositórios não confiáveis.
6. Reinicie serviços de longa duração que chamam o Git, como runners de CI ou daemons de hospedagem Git, para que passem a usar o novo binário.

Como verificar se você é afetado

• Execute git --version. Versões anteriores à versão corrigida da sua série são afetadas: 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1, 2.55.1 ou 2.56.1. Para pacotes de distribuição, compare a versão do pacote com o aviso da sua distribuição, em vez do número de versão upstream.
• Procure em seus scripts de build e implantação e nas configurações de CI por --recursive, --recurse-submodules e submodule update. Verifique quais dos repositórios clonados vêm de terceiros.
• Procure cópias do Git fora do gerenciador de pacotes, por exemplo com which -a git. Verifique também o Git incluído em runners de CI, contêineres e outras aplicações.

Fontes

• https://nvd.nist.gov/vuln/detail/CVE-2026-111760
• https://thehackernews.com/2026/11/git-patches-flaw-that-lets-malicious.html