✨︎ Resumen (TL;DR):
- Git 2.56.1 corrige seis vulnerabilidades y sus parches alcanzan ramas anteriores y Git for Windows.
- CVE-2026-111760 puede permitir ejecutar código al clonar recursivamente un repositorio preparado por un atacante con submódulos.
- GitHub y GitLab corrigieron servicios concretos, pero las copias de Git locales o integradas deben actualizarse por separado.
El proyecto Git publicó el 10 de noviembre la versión 2.56.1 para corregir seis vulnerabilidades. Una, identificada como CVE-2026-111760, puede permitir ejecutar código cuando alguien clona un repositorio preparado por un atacante junto con sus submódulos mediante una clonación recursiva. GitHub aplicó los arreglos en GitHub.com y GitHub Enterprise Cloud, pero las copias de Git instaladas en equipos, aplicaciones o servicios deben actualizarse por separado.
Git es una herramienta de control de versiones que registra cambios en archivos y permite colaborar en proyectos de software. Un submódulo conecta un repositorio con otro. La clonación recursiva es el proceso que descarga el proyecto principal junto con esos componentes.
La falla de clonación recursiva
El escenario descrito para CVE-2026-111760 contempla un servidor controlado por el atacante, no un servicio de alojamiento habitual. Según la explicación de GitHub, el problema está en cómo Git maneja la longitud de una ruta de archivo.
Una ruta especialmente larga puede superar una validación y terminar escrita con otro nombre. Eso permite sustituir el archivo de metadatos de un submódulo por un enlace a una carpeta con configuración o programas maliciosos. Git podría ejecutar ese contenido durante la clonación recursiva.
El aviso individual de Git para esa vulnerabilidad todavía mostraba que no había versiones corregidas cuando se consultó. En cambio, las notas de Git 2.56.1 y el anuncio de GitHub identifican esa versión como una de las que incluye el arreglo para el mismo identificador.
Qué versiones deben actualizarse
Las correcciones están en Git 2.56.1 y se adaptaron a las ramas anteriores mantenidas: 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 y 2.50.2. La versión adecuada depende de la rama y del proveedor que distribuya Git en cada sistema; una distribución también puede incorporar los arreglos a su propio paquete.
Git for Windows publicó la versión 2.56.1 con correcciones para las seis vulnerabilidades. Esa actualización corresponde a la distribución de Git para Windows. Las aplicaciones que incluyan otra copia pueden necesitar sus propios parches.
GitHub informó que aplicó las correcciones en GitHub.com y GitHub Enterprise Cloud. Para instalaciones propias de GitHub Enterprise Server, están disponibles las versiones 3.19.15, 3.20.11, 3.21.9 y 3.22.4.
GitHub también señaló que coordinaba nuevas versiones de GitHub Desktop y de la aplicación GitHub Copilot con Git corregido. Codespaces y GitHub Actions también recibirían las actualizaciones. El anuncio distingue esos productos de los cambios ya aplicados a sus servicios alojados.
GitLab también corrigió una vulnerabilidad crítica
Otra de las vulnerabilidades, CVE-2026-105437, puede corromper la memoria cuando Git combina contenido con muchos conflictos y el ajuste del tamaño de los marcadores es muy elevado. La operación puede ejecutarse en una computadora local o como parte de un servicio que procesa contenido de terceros.
GitLab clasificó el problema como crítico para su plataforma. Bajo determinadas condiciones, podría permitir ejecutar comandos dentro de su entorno Gitaly.
GitLab corrigió GitLab.com y GitLab Dedicated, y publicó las versiones 19.3.8, 19.4.6 y 19.5.4 para sus ediciones Community y Enterprise autogestionadas.
El arreglo está en la copia de Git que usa GitLab. En instalaciones compiladas por sus administradores, GitLab pide reconstruir los binarios de Gitaly y revisar también la copia de Git utilizada por la plataforma. Si esa copia procede de un paquete de la distribución, debe actualizarse a una versión corregida.
Las otras cuatro fallas y las medidas temporales
Las otras cuatro vulnerabilidades cubren situaciones distintas:
- Un servidor malicioso puede anunciar una referencia preparada para provocar, después de una actualización de rama, escrituras fuera del directorio previsto.
- Git puede corromper la memoria al combinar una etiqueta con más de dos firmas.
- El procesamiento de un parche binario que se expande por encima del límite permitido puede cerrar Git.
- La importación de datos podía permitir acceso a archivos fuera del repositorio.
Si no es posible actualizar de inmediato, GitHub recomienda limitar los clones a servidores confiables y evitar la clonación recursiva, las combinaciones de contenido o etiquetas, los parches binarios y las importaciones cuando su origen no sea confiable.
Son medidas temporales. GitHub también aconseja instalar los parches en aplicaciones, automatizaciones y servicios que incluyan su propia copia de Git. Una corrección en un servicio alojado no actualiza las copias instaladas en computadoras ni las que vienen dentro de otras herramientas, así que usuarios y administradores deben revisarlas por separado.
