El proyecto Git publicó el 10 de noviembre la versión 2.56.1 para corregir seis vulnerabilidades de seguridad. Una de ellas puede permitir que un repositorio malicioso ejecute código en el equipo de quien lo clone junto con sus submódulos. GitHub anunció correcciones para las seis en GitHub.com y GitHub Enterprise Cloud, y GitLab corrigió una de ellas. Los usuarios y administradores deben actualizar las copias de Git que usan por separado.
Git es una herramienta de control de versiones que permite registrar cambios en archivos y colaborar en proyectos de software. Un submódulo conecta un repositorio con otro; una clonación recursiva descarga el proyecto principal junto con esos componentes.
La falla de clonación, identificada como CVE-2026-111760, afecta ese proceso cuando se utiliza un repositorio preparado por un atacante. El aviso de Git precisa que el escenario descrito contempla un servidor controlado por el atacante, en lugar de un servicio de alojamiento habitual.
Según la explicación de GitHub, el problema está en cómo Git maneja la longitud de una ruta de archivo. Una ruta especialmente larga puede superar una validación y terminar escrita con otro nombre. Eso permite sustituir un archivo de metadatos de un submódulo por un enlace a una carpeta con configuración o programas maliciosos, que Git podría ejecutar durante la clonación recursiva.
El aviso individual de Git para esa vulnerabilidad aún mostraba que no había versiones corregidas cuando se consultó. Las notas de Git 2.56.1 y el anuncio de GitHub, en cambio, identifican esa versión como una de las que incluyen el arreglo para el mismo identificador.
Los parches también alcanzan a versiones anteriores y a Windows
Las correcciones están en Git 2.56.1 y se adaptaron a las ramas anteriores mantenidas: 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 y 2.50.2. La versión adecuada depende de la rama y del proveedor que distribuya Git en cada sistema; una distribución también puede incorporar los arreglos a su propio paquete.
Git for Windows también publicó la versión 2.56.1 con las correcciones para las seis vulnerabilidades. Esa actualización corresponde a la distribución de Git para Windows; las aplicaciones que incluyan otra copia pueden necesitar sus propios parches.
GitHub informó que aplicó las correcciones en GitHub.com y GitHub Enterprise Cloud. Para instalaciones propias de GitHub Enterprise Server, indicó que están disponibles las versiones 3.19.15, 3.20.11, 3.21.9 y 3.22.4.
La empresa señaló que coordinaba nuevas versiones de GitHub Desktop y de la aplicación GitHub Copilot con Git corregido, y que Codespaces y GitHub Actions también recibirían las actualizaciones. El anuncio distingue esos productos de los cambios ya aplicados a sus servicios alojados.
Una falla de Git también afecta a GitLab
Otra de las vulnerabilidades, CVE-2026-105437, puede corromper la memoria cuando Git combina contenido con muchos conflictos y un ajuste de tamaño de marcadores muy elevado. La operación puede ejecutarse en una computadora local o como parte de un servicio que procesa contenido de terceros.
GitLab clasificó el problema como crítico para su plataforma: bajo determinadas condiciones, podría permitir ejecutar comandos dentro de su entorno Gitaly. La empresa dijo que ya corrigió GitLab.com y GitLab Dedicated y publicó las versiones 19.3.8, 19.4.6 y 19.5.4 para sus ediciones Community y Enterprise autogestionadas.
El arreglo está en la copia de Git que usa GitLab. En instalaciones compiladas por sus administradores, la empresa pide reconstruir los binarios de Gitaly y revisar también la copia de Git que usa GitLab. Si esta procede de un paquete de la distribución, debe actualizarse a una versión corregida.
Las otras cuatro fallas cubren situaciones diferentes. Una permite que un servidor malicioso anuncie una referencia preparada para provocar, después de una actualización de rama, escrituras fuera del directorio previsto. Otra puede corromper la memoria al combinar una etiqueta con más de dos firmas. Una tercera puede cerrar Git al procesar un parche binario que se expande por encima del límite permitido. La última afecta a la importación de datos y podía permitir acceso a archivos fuera del repositorio.
Para quienes no puedan actualizar de inmediato, GitHub recomienda limitar los clones a servidores confiables y evitar la clonación recursiva, las combinaciones de contenido o etiquetas, los parches binarios y las importaciones cuando su origen no sea confiable. Son medidas temporales: GitHub aconseja instalar los parches también en aplicaciones, automatizaciones y servicios que incluyan su propia copia de Git.
