أصدر مشروع Git في 10 نوفمبر 2026 تحديثات أمنية منسقة لمعالجة ست ثغرات، أبرزها CVE-2026-111760 الذي يتيح لمستودع يصممه مهاجم تنفيذ أوامر عن بعد على جهاز من يستنسخه مع وحداته الفرعية، بحسب إعلان الإصدار. وتصنف نشرة المشروع الأمنية هذه الثغرة عالية بتقييم 8.0 وفق CVSS 3.1.
تقول النشرة إن مستودعاً يتحكم به المهاجم قد يخدع Git فيكتب فوق ملف gitfile، الذي تستخدمه الوحدات الفرعية، رابطاً رمزياً يشير إلى مجلد يضم إعدادات أو خطافات خبيثة قد تحمل شيفرة اختارها المهاجم. ويعتقد المشروع حالياً أن الثغرة لا تستغل إلا عند استخدام الخيار –recurse-submodules مع أمر الاستنساخ. وبحسب مدونة GitHub، يعود السبب إلى اقتطاع عدد صحيح في معالجة فهرس Git: يمر مسار طويل جداً من فحص السلامة باسم، ثم يكتب باسم أقصر، فيستبدل ملف .git في وحدة فرعية. وتصلح الإصدارات الجديدة الخلل برفض المسارات الطويلة قبل أن يقتطع طولها.
وتعالج التحديثات خمس ثغرات أخرى، بحسب إعلان الإصدار. CVE-2026-113408 يتيح لخادم يعلن مرجع HEAD غير مولود بمسار يحوي رموز تجاوز المسار أن تكتب عمليات تحديث المراجع في ملفات غير مقصودة مع واجهة المراجع files. CVE-2026-114467 يسبب تلفاً في ذاكرة المكدس عند دمج وسم يحمل أكثر من توقيعين، وقد يؤدي إلى حجب الخدمة ويمس منصات الاستضافة التي تنفذ هذا الدمج. CVE-2026-114469 يخص رقعة ثنائية تتضخم بعد فك ضغطها فتتجاوز حد نحو 1 GiB وتسقط Git بقراءة خارج الحدود. CVE-2026-105437 يفيض فيه حساب حجم المخزن الذي يحمل نتيجة الدمج في عمليات الدمج الضخمة، فتتلف الكومة. أما CVE-2026-114466 فيتعلق بثلاث ميزات في fast-import تسمح بالقراءة من مسارات عشوائية، وصارت ممنوعة افتراضياً.
أبرز أخبار الأمن السيبراني في السعودية والعالم، كل أسبوع في بريدك.
الإصلاح الكامل في Git 2.56.1، ومعه نسخ مرقعة منها 2.55.1 و2.54.1 و2.53.1 و2.52.1 و2.51.3 و2.50.2. وينسب الإعلان اكتشاف الثغرات إلى Luke Martin وpwn2addr، وإصلاحها إلى Toon Claes وKarthik Nayak وKaartic Sivaraam.
وقالت GitHub إنها أصلحت منصتها وGitHub Enterprise Cloud، وإن نسخ GitHub Enterprise Server المصلحة هي 3.19.15 و3.20.11 و3.21.9 و3.22.4، وإن GitHub Desktop وتطبيق Copilot يصدران بنسخة Git مرقعة، وإن Codespaces وActions ستتلقيانها. وتوصي الشركة المسؤولين بالتحديث في أقرب وقت، وبتحديث أي تطبيق يضم نسخته الخاصة من Git.
وإلى حين التحديث تنصح GitHub بالاستنساخ من خوادم موثوقة وتجنب الاستنساخ المتكرر لمستودعات غير موثوقة، وبعدم دمج وسوم أو محتوى غير موثوق، وبعدم معالجة رقع ثنائية أو تدفقات fast-import من مصادر غير موثوقة، مؤكدة أن ذلك لا يغني عن تثبيت الإصلاحات. ولم تذكر المصادر استغلالاً فعلياً لأي من الثغرات الست.
