Git 2.56.1 ve geri taşınmış sürümler yayımlandı; CVE-2026-111760 kötü niyetli depoyu recursive clone ile kod çalıştırmaya açıyor
Git projesi 10 Kasım'da altı açığı kapatan güvenlik sürümü yayımladı. En ciddisi CVE-2026-111760: kötü niyetli bir depo recursive clone sırasında submodule üzerinden hook çalıştırabiliyor. Düzeltme 2.56.1 ve 2.50–2.55 dallarına geri taşındı.
CVE-2026-111760, CVE-2026-113408, CVE-2026-114467
Git projesi 10 Kasım'da altı güvenlik açığını kapatan koordineli bir sürüm yayımladı. GitHub'ın duyurusuna göre en ciddi sorun CVE-2026-111760. Index işlemedeki bir integer truncation hatası, aşırı uzun bir yolun doğrulamadan geçip daha kısa bir adla diske yazılmasına imkân veriyor. Bu da kötü niyetli bir deponun recursive clone sırasında bir submodule'ün .git dosyasını, saldırganın hook ya da config yerleştirdiği bir dizine işaret eden bağlantıyla değiştirmesine yol açabiliyor. Sonuç, depoyu klonlayan geliştiricinin ya da CI sunucusunun makinesinde kod çalışması.
Diğer beş açık protocol v2 üzerinden boş depo klonlarken sunucunun bildirdiği HEAD ile path traversal (CVE-2026-113408), çok imzalı tag'lerde stack bozulması (CVE-2026-114467), binary patch uygulamada sınır dışı okuma (CVE-2026-114469), büyük merge'lerde heap bozulması (CVE-2026-105437) ve fast-import akışlarıyla dosya sistemi erişimi (CVE-2026-114466). Kaynaklarda CVSS puanı verilmedi; sahada istismar bildirilmedi.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Git 2.56 dalı | 2.56.1 öncesi | 2.56.1 |
| Git 2.50–2.55 dalları | Her dalın düzeltme öncesi sürümleri | 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3, 2.50.2 |
| GitHub Enterprise Server | Düzeltme öncesi sürümler | 3.19.15, 3.20.11, 3.21.9, 3.22.4 |
| Git for Windows, GitHub Desktop | Üretici bildirimindeki liste | Duyuru anında hazırlanıyordu |
GitHub, düzeltmelerin github.com ve GitHub Enterprise Cloud'a uygulandığını; Codespaces ve Actions için yamalı Git'in koordine edildiğini bildirdi. Daha eski dallar için açık bir sürüm listesi yayımlanmadı.
Beni etkiliyor mu?
Geliştirici makinelerinde, build ajanlarında ve container imajlarında kurulu Git sürümünü kontrol edin. Linux'ta paket yöneticisinden:
rpm -q git
dpkg -l gitWindows'ta Ayarlar › Uygulamalar › Yüklü uygulamalar listesinde Git'in sürümüne bakılabilir.
Sürüm yukarıdaki tablodaki düzeltilmiş sürümlerden eskiyse sistem etkilenir. Özellikle dışarıdan gelen depoları recursive olarak klonlayan CI/CD pipeline'ları, kod analiz servisleri ve mirror sunucuları öncelikli risk grubudur.
Ne yapılmalı?
- Git'i 2.56.1'e ya da kullandığınız dalın düzeltilmiş sürümüne yükseltin; dağıtım paketlerini (Debian, Ubuntu, Red Hat vb.) kendi güvenlik bildirimlerinden takip edin.
- GitHub Enterprise Server kullanıyorsanız tablodaki sürümlere yükseltmeyi change management sürecinize alın.
- Patch kurulana kadar güvenmediğiniz depoları recursive olarak klonlamayın, güvenilmeyen tag ve içerikleri merge etmeyin, dış kaynaklı binary patch ve fast-import akışlarını işlemeyin. GitHub bu önlemlerin patch'in yerini tutmadığını vurguluyor.
- CI imajlarını ve base container imajlarını yeniden build ederek eski Git'in imajlarda kalmadığından emin olun.
- Git for Windows ve GitHub Desktop için yamalı sürüm duyurusunu izleyin.
