O projeto Git anunciou em 10 de novembro de 2026 a correção de seis vulnerabilidades no sistema de controle de versão usado para hospedar e clonar código. A mais grave recebeu nota 8.0 e pode levar à execução de código na máquina de quem clona um repositório preparado pelo atacante. Não há registro de exploração das seis falhas antes da publicação das correções.
A principal delas é rastreada como CVE-2026-111760 e nasce de um truncamento de inteiro no código que monta o índice do repositório. O Git mantém uma checagem que impede um arquivo recebido de sobrescrever os dados internos do próprio repositório, e um caminho muito longo passa por essa checagem e depois é gravado em disco com um nome mais curto do que o verificado.
O efeito prático é a troca do arquivo que aponta para o diretório interno de um submódulo por um link simbólico controlado pelo atacante. Esse link leva a uma pasta com configurações ou com hooks, que são scripts que o Git executa sozinho em determinados momentos. Quando a ferramenta usa aquele diretório, o código do atacante roda. O aviso indica que o caminho depende do clone com a opção de submódulos recursivos.
A segunda falha, CVE-2026-113408, aparece no clone de um repositório vazio pela versão 2 do protocolo de transporte. Um servidor malicioso anuncia a referência principal com componentes de travessia de diretório, e uma atualização posterior de ramo grava fora da pasta de referências prevista.
Três das correções tratam de erros de memória. Na CVE-2026-114467 a rotina que remove assinaturas GPG assume no máximo duas assinaturas, e uma tag preparada com mais do que isso estoura um vetor de tamanho fixo durante um merge. Na CVE-2026-114469 o limite de cerca de 1 GiB para patches binários media apenas o tamanho comprimido, de modo que um arquivo pequeno expande além do limite e provoca leitura fora dos limites. Na CVE-2026-105437 um merge com muitos conflitos e marcadores longos estoura o cálculo do espaço a alocar.
A sexta, CVE-2026-114466, está na importação rápida de dados. Três recursos dessa função podiam ler ou gravar arquivos fora do repositório, e passaram a ser bloqueados quando a entrada não é confiável, a menos que quem chama a ferramenta autorize de forma explícita.
As correções saíram na versão 2.56.1 e foram portadas para as linhas 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 e 2.50.2. O GitHub Enterprise Server recebeu as versões 3.19.15, 3.20.11, 3.21.9 e 3.22.4, enquanto o github.com e o Enterprise Cloud foram corrigidos pela própria empresa. O GitHub Desktop, o aplicativo do Copilot, o Codespaces e o Actions passam a distribuir binários do Git já atualizados.
