Git מתקן פגיעות שמאפשרת למאגר זדוני להריץ קוד בשכפול רקורסיבי

צוות Git פרסם עדכוני אבטחה שמתקנים, בין השאר, את CVE-2026-111760: פגיעות שמאפשרת למאגר זדוני עם תתי-מודולים להריץ קוד אצל מי ששכפל אותו. מי שמשכפל מאגרים לא מהימנים צריך לעדכן.

מזהה	CVE-2026-111760
מוצר	Git — הטווח המדויק של הגרסאות הפגיעות לא פורסם במקור שנבדק
חומרה (CVSS)	לא פורסם
מנוצל בפועל	לא פורסם
תיקון	Git 2.56.1 וגרסאות תחזוקה: 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1, 2.55.1

מה קרה

הבאג הוא קטיעת מספר שלם באינדקס של Git: נתיב ארוך במיוחד עובר את בדיקת הבטיחות, אך נכתב לדיסק בשם קצר שהתוקף יכול לגרום לו להיות .git. בתת-מודול ששוכפל הרגע, .git הוא קובץ ולא תיקייה, ולכן ההגנה שמונעת החלפה בקישור סימבולי לא חלה. כך אפשר להפנות אותו לתיקייה עם hooks או הגדרות זדוניות, והקוד רץ כש-Git משתמש בה.

התיקון גורם ל-Git לסרב לנתיבים ארוכים כאלה לפני הקטיעה. באותן גרסאות תוקנו גם CVE-2026-113408, CVE-2026-114467, CVE-2026-114469, CVE-2026-105437 ו-CVE-2026-114466. GitHub טיפלה ב-github.com, ותיקון ל-GitHub Enterprise Server יצא בגרסאות 3.19.15, 3.20.11, 3.21.9 ו-3.22.4.

נקודות לשים לב

עדכן ל-Git 2.56.1 או לגרסת התחזוקה של הסדרה שלך. ב-Git for Windows בדוק אם יצאה גרסה מבוססת 2.56.1 — בזמן הדיווח עדיין לא יצאה.
עד העדכון: אל תבצע שכפול רקורסיבי של מאגרים לא מהימנים ושכפל רק משרתים מהימנים. זו הפחתת סיכון ולא תחליף לתיקון.
בסביבות CI ובשרתי build שמשכפלים קוד חיצוני עם תתי-מודולים, ודא שהגרסה עודכנה — שם הסיכון גבוה במיוחד.
שרתים שמריצים git merge-tree ואינם יכולים לעדכן: לגבי CVE-2026-105437 אפשר להוסיף conflict-marker-size=7 ל-info/attributes בכל מאגר.
לא דווח על ניצול בפועל, אך הפרטים הטכניים פומביים — אל תדחה את העדכון.