Sebuah kerentanan berbahaya di Git memungkinkan repositori jahat menjalankan kode secara otomatis saat pengguna melakukan kloning rekursif beserta submodulnya. Komunitas Git menambal celah tersebut melalui versi 2.56.1, disertai pembaruan untuk seri 2.50 hingga 2.55, yakni 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1, dan 2.55.1.
Celah dengan nomor referensi CVE-2026-111760 ini bersumber dari pemotongan integer saat Git mengelola indeks internalnya. Ketika repositori menyertakan jalur berkas yang sangat panjang, jalur tersebut lolos dari pemeriksaan keamanan standar Git, lalu disimpan ke disk menggunakan nama berkas ringkas yang dimanipulasi agar menyerupai .git.
Kondisi ini memungkinkan penyerang mengganti berkas asli .git submodul dengan tautan simbolis menuju direktori berbahaya berisi skrip konfigurasi atau hooks ilegal. Hooks adalah program otomatis yang dipanggil oleh Git pada proses tertentu, sehingga kode penyerang dapat langsung dieksekusi di komputer korban.
Submodul menjadi elemen penentu karena arsitektur Git menolak penggantian direktori .git dengan tautan simbolik, namun pada repositori submodul yang baru dikloning, .git hanya berupa berkas biasa.
Tambalan terbaru menolak penanganan rute nama berkas yang sangat panjang lebih awal sebelum pemotongan karakter diproses.
GitHub menyarankan seluruh pengguna segera memperbarui instalasi Git versi terbaru melalui penyedia sistem operasi atau distributor masing-masing, serta memperbarui aplikasi pihak ketiga yang memaketkan Git tersendiri.
Layanan github.com dan GitHub Enterprise Cloud telah menerapkan proteksi tersebut. Untuk pengguna GitHub Enterprise Server, perbaikan hadir pada versi 3.19.15, 3.20.11, 3.21.9, dan 3.22.4.
Pembaruan untuk GitHub Desktop serta GitHub Copilot sedang disiapkan, sedangkan GitHub Codespaces dan GitHub Actions segera menerima versi yang telah ditambal.
Berdasarkan penelusuran The Hacker News hingga Selasa pukul 19:09 UTC, varian instalasi resmi Git for Windows belum menghadirkan paket berbasis versi 2.56.1.
Menjelang tersedianya pembaruan, GitHub merekomendasikan langkah pencegahan sementara yang bukan pengganti perbaikan permanen.
Rangkaian peluncuran mutakhir ini juga menutup lima kerentanan lainnya.
GitLab yang meregistrasikan CVE-2026-105437 menegaskan bahwa server pengelola repositori menjadi target rawan melalui pemanggilan perintah git merge-tree, yang sering dimanfaatkan untuk memverifikasi kelayakan merge pada pull request atau merge request.
Konfigurasi conflict-marker-size dapat disisipkan lewat berkas .gitattributes di dalam repositori. Jika server membacanya, setiap pengguna dengan izin push branch dan membuat pull request dapat memicu eksploitasi celah ini.
Sebagai penanganan darurat bagi pengelola server yang belum dapat melakukan upgrade, mereka dapat menyematkan conflict-marker-size=7 ke dalam berkas info/attributes pada setiap repositori, atau menonaktifkan pengecekan penggabungan otomatis untuk repositori yang belum tepercaya.
