El proyecto Git ha parcheado seis vulnerabilidades, incluyendo un fallo crítico que permite que repositorios maliciosos ejecuten código durante la clonación recursiva. Las otras cinco implican escrituras de archivos no seguras y corrupción de memoria en fusiones (merges) y parches. Git anunció las correcciones el 10 de noviembre de 2026.

Los parches llegan en Git 2.56.1. También han sido retroportados a las versiones 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 y 2.50.2. Debes cambiarte a la 2.56.1 o a la última corrección de tu línea de versión. Cualquier aplicación que incluya su propia copia de Git también necesita una actualización.

El fallo más grave es el CVE-2026-111760, calificado como Alto con una puntuación CVSS de 8.0. Normalmente, Git comprueba las rutas de los archivos antes de escribirlos y bloquea cualquier ruta que pudiera sobrescribir los datos de su propio repositorio.

Sin embargo, un truncamiento de enteros en el código del índice permite que una ruta extremadamente larga supere la comprobación bajo un nombre y luego sea escrita bajo uno más corto.

Un atacante puede usar esto para sustituir el archivo .git de un submódulo por un enlace simbólico. El enlace apunta a una carpeta que contiene configuraciones o hooks maliciosos. Cuando Git utiliza esa carpeta más tarde, ejecuta el código del atacante.

Git corrige 6 vulnerabilidades de seguridad

El aviso indica que esto parece requerir la opción --recurse-submodules. La corrección rechaza las rutas de índice excesivamente largas antes de que su longitud pueda ser recortada.

No es la primera vez que los repositorios clonados causan problemas. Cyber Security News informó sobre el CVE-2025-48384, que la CISA confirmó como explotado, y una campaña del Grupo Lazarus que utilizó un truco de enlace simbólico similar contra desarrolladores. Estos casos muestran lo rápido que los atacantes convierten los errores de clonación en ataques reales.

El CVE-2026-113408 afecta a la clonación de un repositorio vacío a través del protocolo v2. Un servidor malicioso puede anunciar un puntero HEAD con fragmentos de salto de ruta (path-traversal) en su nombre.

Git no lo comprobaba, por lo que una actualización posterior de la rama podría escribir fuera de la carpeta de referencia prevista. Ahora Git valida el objetivo, junto con otros nombres de referencia que recibe a través del protocolo v2.

El CVE-2026-114467 es un error de memoria de pila (stack). Cuando Git elimina las firmas GPG de un mensaje, asume que habría como máximo dos. Una etiqueta manipulada con más firmas puede desbordar un array de tamaño fijo. Fusionar esa etiqueta podría corromper la memoria o provocar una caída del sistema, y los servicios de alojamiento que realizan fusiones en nombre de los usuarios también podrían verse afectados.

El CVE-2026-114469 afecta a los parches binarios. Git rechaza los parches de más de aproximadamente 1 GiB, pero solo medía el tamaño comprimido. Un parche manipulado y pequeño puede expandirse más allá del límite, provocar una lectura fuera de límites y hacer que Git falle. Ahora Git también comprueba el tamaño descompresionado declarado.

El CVE-2026-105437 es un error de corrupción de montón (heap) en fusiones grandes. El cálculo de memoria puede desbordarse cuando muchos conflictos se combinan con una configuración de tamaño de marcador de conflicto elevada. Git entonces asigna muy poco espacio y escribe más allá de este. Tanto las fusiones locales como los servicios que fusionan contenido no confiable están afectados.

El último fallo, CVE-2026-114466, afecta a git fast-import. Tres funciones, rewrite-submodules-from, rewrite-submodules-to y export-pack-edges, podrían leer o escribir archivos fuera del repositorio. Ahora están bloqueadas en entradas no confiables a menos que quien llame establezca --allow-unsafe-features. Activa esa opción solo para flujos en los que confíes.

GitHub dice que ya ha corregido github.com y sus productos Enterprise Cloud. Los administradores de GitHub Enterprise Server deben instalar las versiones 3.19.15, 3.20.11, 3.21.9 o 3.22.4. GitHub Desktop, la aplicación GitHub Copilot, Codespaces y Actions también recibirán compilaciones de Git parcheadas.

Tú y tu equipo también deberíais revisar los servidores de compilación y las herramientas de automatización, ya que a menudo clonan repositorios sin que nadie los vigile. Los riesgos relacionados también están creciendo, como muestran los fallos de GitSpawn que permitían que repositorios con trampas ejecutaran código a través de agentes de codificación de IA.

Si no puedes actualizar inmediatamente, clona solo desde servidores confiables y evita las clonaciones recursivas de repositorios desconocidos. Asimismo, evita fusionar etiquetas o contenido no confiable, y evita procesar parches binarios externos o flujos de fast-import. Estos pasos ayudan, pero no sustituyen al parche.