Git: kötü amaçlı depolar özyinelemeli klonlama sırasında kod çalıştırabilir (CVE-2026-111760)

Ne oldu

11 Kasım 2026'da Git projesi altı güvenlik açığını gideren yeni sürümler yayımladı. En ciddi olanı CVE-2026-111760'tır. Kötü amaçlı bir deponun özyinelemeli olarak, yani alt modülleriyle birlikte klonlanması, saldırganın kodunu klonlamayı yapan makinede çalıştırabilir.

Nedeni, Git'in dizinini işlerken yaşanan bir tam sayı kesilmesidir. Çok uzun bir yol Git'in güvenlik denetimini geçer, ancak Git bu yolu diske daha kısa bir adla yazar. Saldırgan bu kısa adı seçebilir. Böylece saldırgan bir alt modülün .git dosyasını, kötü amaçlı hook'lar veya yapılandırma içeren bir dizine işaret eden sembolik bağla değiştirebilir. Git bu dizini kullandığında saldırganın kodu çalışır. Düzeltme, Git'in bu tür çok uzun yolları uzunlukları kısaltılmadan önce reddetmesini sağlar.

Aynı sürümler beş açığı daha giderir:

• CVE-2026-113408: Biri boş bir depoyu Git protokolü v2 üzerinden klonladığında, kötü amaçlı bir sunucu yol geçişi içeren bir dal adı gönderebilir. Dosya referans arka ucuyla, bu dala yapılacak sonraki bir güncelleme Git'in referans dizini dışına yazabilir.
• CVE-2026-114467: İkiden fazla GPG imzası taşıyan bir etiketin birleştirilmesi yığın belleğini bozar ve hizmet reddine yol açabilir. Kullanıcıları için bu tür birleştirmeleri çalıştıran barındırma hizmetleri de etkilenebilir.
• CVE-2026-114469: Çok büyük boyuta genişleyen bir ikili yama, Git'in yaklaşık 1 GiB olan yama boyutu sınırını aşabilir ve sınır dışı okuma nedeniyle Git'i çökertebilir.
• CVE-2026-105437: Çok sayıda çakışma içeren çok büyük bir birleştirme ve büyük bir conflict-marker-size özniteliği, Git'in bir yığın tamponunun sonunun ötesine yazmasına neden olabilir. GitLab, en olası hedeflerin kod barındırma sunucuları olduğunu belirtiyor. Bu sunucular, bir çekme veya birleştirme isteğinin birleştirilip birleştirilemeyeceğini kontrol etmek için git merge-tree komutunu çalıştırır.
• CVE-2026-114466: Üç git fast-import özelliği (rewrite-submodules-from, rewrite-submodules-to ve export-pack-edges) rastgele dosyaları okumak veya dosya oluşturup bunlara veri eklemek için kullanılabiliyordu. Git artık bu özellikleri, --allow-unsafe-features ayarlanmadıkça bir girdi akışında reddeder.

Hiçbir kaynak şimdiye kadar saldırı bildirmemiştir.

Kimler etkilenir

Bu düzeltilmiş sürümlerden önceki bir Git sürümü çalıştıran her sistem etkilenir: 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 ve 2.50.2. Sunucularda en çok şunlar önemlidir:

• Derleme, CI ve dağıtım sunucuları depoları özyinelemeli olarak klonlar (git clone --recursive, --recurse-submodules veya git submodule update --init), özellikle üçüncü taraflardan gelen depoları veya alt modülleri. CVE-2026-111760'ın işe yaraması için klonlanan deponun kötü amaçlı olması gerekir. Yalnızca kendi güvendiğiniz depoları klonluyorsanız risk çok daha düşüktür, ama yine de güncelleme yapmanız önerilir.
• Kendi sunucusunda çalışan Git barındırma sunucuları, kullanıcıların gönderdiği içerik üzerinde birleştirme veya birleştirme kontrolleri çalıştırır (CVE-2026-105437, CVE-2026-114467).
• GitHub Enterprise Server: düzeltmeler 3.19.15, 3.20.11, 3.21.9 ve 3.22.4 sürümlerindedir.
• Kendi Git kopyasını dağıtan uygulamalar. Bunların satıcılarından bir güncelleme almaları gerekir.

Etkilenmeyenler: github.com ve GitHub Enterprise Cloud. GitHub düzeltmeleri bu platformlara zaten uygulamıştır. Git kurulu olan ama dışarıdan içerik klonlamayan veya birleştirmeyen web sunucuları, klonlama açığına pratikte maruz değildir. Yine de bunları bir sonraki bakım döneminizde güncelleyin.

Git for Windows, 10 Kasım 2026 saat 19:09 UTC itibarıyla Git 2.56.1 tabanlı bir sürüm yayımlamamıştı. Windows yöneticilerinin bu sürümü takip etmesi önerilir.

Şimdi yapılacaklar

1. Her sunucuda kurulu sürümü git --version komutuyla kontrol edin.
2. Düzeltilmiş sürümü işletim sisteminizin paket yöneticisinden kurun (örneğin apt update && apt install --only-upgrade git veya dnf upgrade git). Dağıtımlar genellikle düzeltmeleri kendi paket sürümlerine geri aktarır, bu nedenle düzeltilmiş paketi bulmak için dağıtımınızın güvenlik duyurusuna bakın. Git'i kendiniz derliyorsanız 2.56.1'e veya serinizin düzeltilmiş sürümüne yükseltin.
3. GitHub Enterprise Server'ı sürüm hattınıza bağlı olarak 3.19.15, 3.20.11, 3.21.9 veya 3.22.4 sürümüne güncelleyin. Kendi Git kopyasını dağıtan diğer uygulamaları ise satıcıları bir düzeltme yayımladığında güncelleyin.
4. Tüm sistemler güncellenene kadar GitHub'ın geçici önerilerini izleyin. Bu adımlar güncellemenin yerini tutmaz:
   • Yalnızca güvendiğiniz sunuculardan klonlayın.
   • Güvenmediğiniz depoları özyinelemeli olarak klonlamayın.
   • Güvenmediğiniz içerikleri veya etiketleri birleştirmeyin.
   • Güvenmediğiniz kaynaklardan gelen ikili yamaları veya fast-import akışlarını işlemeyin.
5. Henüz güncellenemeyen Git barındırma sunucularında CVE-2026-105437'ye karşı önlem alın. Her deponun info/attributes dosyasına conflict-marker-size=7 satırını ekleyin veya güvenilmeyen depolar için birleştirme kontrollerini kapatın.
6. CI çalıştırıcıları veya Git barındırma servisleri gibi Git'i çağıran uzun süre çalışan hizmetleri yeniden başlatarak yeni ikili dosyayı kullanmalarını sağlayın.

Etkilenip etkilenmediğinizi nasıl kontrol edersiniz

• git --version komutunu çalıştırın. Sürümü kendi serisinin düzeltilmiş sürümünden eski olanlar etkilenmiştir: 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1, 2.55.1 veya 2.56.1. Dağıtım paketleri için, üst akış sürüm numarası yerine paket sürümünü dağıtımınızın duyurusuyla karşılaştırın.
• Derleme ve dağıtım betiklerinizde ve CI yapılandırmalarınızda --recursive, --recurse-submodules ve submodule update ifadelerini arayın. Klonladıkları depoların hangilerinin üçüncü taraflardan geldiğini kontrol edin.
• Paket yöneticisi dışında kurulmuş Git kopyalarını arayın, örneğin which -a git komutuyla. Ayrıca CI çalıştırıcılarında, konteynerlarda ve diğer uygulamalarla birlikte gelen Git sürümlerini de kontrol edin.

Kaynaklar

• https://nvd.nist.gov/vuln/detail/CVE-2026-111760
• https://thehackernews.com/2026/11/git-patches-flaw-that-lets-malicious.html