ثغرة Git CVE-2026-111760: استنساخ مستودع خبيث ينفذ كوداً

كيف تعمل الثغرة؟

الخلل من نوع Integer Truncation في طريقة تعامل Git مع الفهرس (Index). فمسار طويل جداً داخل المستودع يجتاز فحص الأمان، لكن Git يكتبه على القرص باسم أقصر يستطيع المهاجم جعله .git. وبهذا يستبدل المهاجم ملف .git الخاص بوحدة فرعية برابط رمزي (Symbolic Link) إلى مجلد فيه Hooks أو إعدادات خبيثة. والـ Hooks برامج ينفذها Git في نقاط محددة، فيعمل كود المهاجم.

ودور الـ Submodules هنا أن Git يرفض استبدال مجلد .git برابط رمزي، لكن .git في الوحدة الفرعية المستنسخة حديثاً يكون ملفاً لا مجلداً.

النسخ المصلحة

• Git 2.56.1، ومعها 2.50.2 و2.51.3 و2.52.1 و2.53.1 و2.54.1 و2.55.1.
• طبّقت GitHub الإصلاح على github.com وGitHub Enterprise Cloud. أما GitHub Enterprise Server فالإصلاح في 3.19.15 و3.20.11 و3.21.9 و3.22.4.
• تُجهَّز نسخ مصلحة من GitHub Desktop وتطبيق GitHub Copilot.
• حتى مساء الثلاثاء لم تكن Git for Windows قد أصدرت نسخة مبنية على 2.56.1.

وأصلحت الإصدارات أيضاً خمس ثغرات أخرى، منها CVE-2026-113408 (Path Traversal من خادم خبيث).

ماذا تفعل؟

1. حدّث Git من نظام التشغيل أو من الموزّع، وحدّث أي تطبيق يحمل نسخة Git خاصة به.
2. إلى حين التحديث لا تستخدم git clone --recursive مع مستودعات غير موثوقة، ولا تستنسخ إلا من خوادم تثق بها.
3. لا تدمج محتوى أو Tags من مصادر غير موثوقة.