Sebuah kerentanan berbahaya pada sistem Git memungkinkan repositori jahat mengeksekusi kode peretas pada komputer korban yang melakukan kloning secara rekursif bersama submodulnya. Proyek Git resmi merilis perbaikan pekan ini pada pembaruan Git 2.56.1, disertai rilis patch penyesuaian untuk seri 2.50 hingga 2.55, tepatnya versi 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1, serta 2.55.1.

Celah keamanan yang diidentifikasi sebagai CVE-2026-111760 ini bersumber dari masalah pemotongan integer atau integer truncation saat Git memproses indeksnya. Jalur direktori yang luar biasa panjang pada sebuah repositori mampu mengelabui pemeriksaan keamanan Git, tetapi aplikasi tersebut kemudian menyimpannya ke penyimpanan lokal dengan nama yang lebih pendek yang dapat direkayasa oleh peretas menjadi berkas .git.

Kondisi fatal ini memberi jalan bagi penyerang untuk menimpa berkas .git milik submodul menggunakan tautan simbolis atau symbolic link menuju folder lain yang telah disusupi skrip kait atau hooks serta berkas konfigurasi jahat. Hooks sendiri merupakan serangkaian program yang dipicu secara otomatis oleh Git pada tahapan kerja tertentu, sehingga ketika Git memproses folder tersebut, instruksi berbahaya milik penyerang akan langsung dijalankan secara otomatis.

Keberadaan submodul sangat krusial dalam skenario eksploitasi ini karena Git sejatinya melarang penggantian folder .git dengan symbolic link, namun pada submodul yang baru saja selesai dikloning, komponen .git tersebut mulanya berbentuk berkas biasa.

Versi-versi perbaikan yang dipublikasikan dalam pengumuman rilis resmi proyek Git kini secara tegas menolak pemrosesan jalur direktori yang luar biasa panjang tersebut sebelum ukurannya sempat dipangkas atau dipotong pendek.

GitHub, yang mengintegrasikan Git ke berbagai aplikasinya, menguraikan perbaikan teknis tersebut melalui tulisan komprehensif. Platform pengembang ini menyarankan seluruh pengguna segera mengunduh serta memasang versi terbaru dari penyedia sistem operasi atau distributor resmi Git, sekaligus memperbarui seluruh program yang membawa instalasi Git mandiri di dalamnya.

Pihak perusahaan mengonfirmasi telah memperbarui sistem utama pada situs web github.com serta GitHub Enterprise Cloud. Pembaruan untuk GitHub Enterprise Server dihadirkan pada versi 3.19.15, 3.20.11, 3.21.9, dan 3.22.4.

Varian aman bagi aplikasi GitHub Desktop serta GitHub Copilot kini tengah dalam tahap persiapan rilis. Fitur GitHub Codespaces dan sistem GitHub Actions juga dijadwalkan segera memperoleh integrasi Git yang telah diperbaiki.

Proyek Git for Windows terpantau belum merilis paket pembaruan yang berbasiskan Git 2.56.1 hingga hari Selasa pukul 19:09 UTC, sebagaimana hasil penelusuran label rilis resmi oleh media The Hacker News.

Sembari menanti instalasi pembaruan terlaksana seutuhnya, GitHub menganjurkan beberapa tahapan mitigasi penanganan awal darurat berikut, meskipun langkah ini tidak dapat sepenuhnya menggantikan fungsi dari patch utama:

Pembaruan ekosistem Git kali ini turut mengatasi lima celah keamanan tambahan lainnya:

GitLab, selaku pelapor yang mendaftarkan celah CVE-2026-105437, mengungkapkan bahwa peladen hosting kode adalah target yang sangat rentan dieksploitasi melalui pemanggilan perintah git merge-tree. Peladen Git biasanya mengeksekusi instruksi tersebut guna memverifikasi apakah sebuah permintaan tarik atau pull/merge request aman untuk digabungkan ke cabang utama.

Atribut conflict-marker-size dapat disisipkan lewat berkas .gitattributes yang diunggah ke dalam repositori. Apabila peladen membaca metadata atribut dari repositori tersebut, pengguna mana pun yang memiliki akses pengunggahan cabang dan pembukaan pull request dapat memicu kegagalan sistem.

Sebagai solusi sementara bagi peladen yang belum memungkinkan memperbarui sistem secara langsung, pengelola dapat menambahkan pengaturan conflict-marker-size=7 ke dalam berkas info/attributes di setiap repositori, atau mematikan fitur verifikasi penggabungan otomatis untuk repositori yang tidak terpercaya.