bige
Six vulnérabilités, plusieurs chemins d’entrée
Le projet Git a publié Git 2.56.1 et des correctifs rétroportés dans les séries 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 et 2.50.2. Six CVE couvrent des opérations différentes : clone récursif, références annoncées par un serveur, fusion de tags signés, patchs binaires, grosses fusions et flux fast-import.
Le risque le plus direct concerne CVE-2026-111760. Un dépôt malveillant cloné récursivement peut exploiter un chemin extrêmement long pour remplacer le fichier .git d’un sous-module et conduire Git à charger une configuration ou des hooks contrôlés par l’attaquant.
Les autres correctifs bloquent notamment une traversée de chemin depuis un HEAD annoncé par un serveur, des corruptions mémoire pendant certaines fusions ou l’application de patchs binaires, et des accès au système de fichiers par des fonctions dangereuses de fast-import.
Les postes ne sont pas les seules cibles
Un Git ancien peut aussi se trouver dans une image de CI, un runner auto-hébergé, une appliance, un IDE ou un service qui clone et fusionne des dépôts pour le compte d’utilisateurs. Ce sont précisément ces automatismes qui traitent parfois du contenu non fiable sans validation humaine.
GitHub indique avoir corrigé github.com et GitHub Enterprise Cloud. Des versions corrigées de GitHub Enterprise Server existent également. GitHub Actions, Codespaces, Desktop et l’application Copilot suivent leur propre calendrier d’intégration du Git corrigé : il faut vérifier les logiciels et runners réellement utilisés, pas seulement le serveur distant.
Vérifier et corriger
Commencer par inventorier la version avec git --version sur les postes, runners et images. Mettre à jour vers 2.56.1 ou vers la version corrigée de la série de maintenance conservée, puis reconstruire les images qui embarquent Git.
En attendant la mise à jour, éviter les clones récursifs de dépôts non fiables, les fusions de contenu ou de tags non fiables, les patchs binaires et les flux fast-import d’origine inconnue. Ces restrictions réduisent l’exposition mais ne remplacent pas le correctif.