Разработчики Git 10 ноября закрыли уязвимость, которая позволяла специально подготовленному репозиторию запустить чужой код уже при его копировании на компьютер. Условие — клонирование вместе с подмодулями, то есть подключёнными к проекту отдельными репозиториями. Собирать или намеренно запускать скачанный проект для такой атаки не требовалось.

Как объясняет разбор GitHub, Git проверял имя файла перед записью, но из-за ошибки обработки длины чрезвычайно длинный путь мог пройти проверку в одном виде, а попасть на диск в укороченном. Это позволяло подменить служебный файл подмодуля ссылкой на каталог с настройками и автоматическими сценариями атакующего. Когда Git обращался к этому каталогу, он мог выполнить вложенный код. Исправление отбрасывает слишком длинные пути до такого преобразования.

В бюллетене проекта описан репозиторий на сервере под контролем атакующего; разработчики считают необходимым условием загрузку подмодулей. Поэтому находка не означает, что любой просмотр проекта в браузере или обычное скачивание архива запускает код. В этих источниках нет подтверждения реальных атак или числа пострадавших. Значение ошибки — в нарушении границы между получением исходников и их выполнением, на которую опираются и разработчики, и автоматизированные сборки.

Исправление CVE-2026-111760 вошло в Git 2.56.1 и выпуски для поддерживаемых старых веток — это подтверждают примечания к релизу. GitHub сообщила об установке защиты на github.com и в Enterprise Cloud. На момент объявления обновления приложений со встроенным Git и сред Actions и Codespaces ещё готовились: защита серверной площадки сама по себе не обновляет Git на компьютере пользователя.