עדכון אבטחה דחוף למפתחים ולצוותי DevOps: פרויקט Git פרסם שש חולשות חדשות, ובהן תרחיש שבו מאגר זדוני יכול להוביל להרצת קוד במהלך git clone --recursive. התיקונים זמינים ב‑Git 2.56.1 ובגרסאות תחזוקה מתוקנות לענפים קודמים.
מה קרה?
GitHub דיווחה ב‑10 בנובמבר 2026 כי פרויקט Git מתקן שש חולשות הנוגעות לשכפול רקורסיבי, טיפול ב‑references, מיזוגים, binary patches ו‑fast-import. החמורה והמעניינת ביותר היא CVE‑2026‑111760: קיצור מספרי של אורך נתיב קיצוני עלול לגרום לכך ש‑Git יבדוק שם אחד, אך יכתוב בפועל שם קצר יותר.
בתנאים המתאימים, מאגר זדוני יכול לנצל את הפער כדי להחליף את קובץ .git של submodule בקישור סמלי המפנה לתיקייה עם הגדרות או hooks זדוניים. כאשר Git ממשיך את תהליך ה‑clone, הוא עלול להפעיל קוד בשליטת התוקף. חשוב לדייק: אין כאן טענה שכל clone רגיל מסוכן, אלא מסלול תקיפה הדורש מאגר שנבנה במיוחד ושכפול רקורסיבי שלו.
עוד חמש חולשות באותו עדכון
- CVE‑2026‑113408: שרת Git זדוני יכול לפרסם HEAD לא תקין עם רכיבי path traversal, מה שעלול להוביל לכתיבה מחוץ לתיקיית ה‑references.
- CVE‑2026‑114467: הודעה עם יותר משתי חתימות GPG עלולה לגרום לכתיבה מעבר למערך קבוע ולשחיתות stack.
- CVE‑2026‑114469: binary patch דחוס יכול להתרחב מעבר למגבלה שנבדקה ולגרום לקריאה מחוץ לגבולות הזיכרון.
- CVE‑2026‑105437: חישוב גודל שגוי במיזוגים גדולים במיוחד עלול להוביל להקצאת buffer קטן מדי ולשחיתות heap.
- CVE‑2026‑114466: תכונות מסוימות ב‑
git fast-importיכלו לקרוא או לכתוב קבצים מחוץ למאגר כאשר זרם הקלט אינו אמין.
מי צריך לטפל בזה עכשיו?
העדיפות הגבוהה ביותר היא למערכות שמטפלות במאגרים שאינם אמינים: שרתי CI/CD, שירותי hosting, בוטים שמבצעים clone או merge, תחנות פיתוח שמורידות פרויקטים אקראיים, וכלי Desktop או IDE שמצרפים עותק מובנה של Git. עדכון חבילת Git במערכת אינו בהכרח מעדכן כל אפליקציה שמביאה איתה binary משלה.
GitHub מסרה שההגנות כבר נפרסו ב‑github.com וב‑GitHub Enterprise Cloud. עבור GitHub Enterprise Server זמינים תיקונים בגרסאות 3.19.15, 3.20.11, 3.21.9 ו‑3.22.4. החברה גם מתאמת עדכונים ל‑GitHub Desktop ולאפליקציית GitHub Copilot; Codespaces ו‑Actions יקבלו גרסאות מתוקנות.
מה לעשות בפועל
- בדקו את הגרסה עם
git --version. - עדכנו ל‑Git 2.56.1, או לגרסת התחזוקה המתוקנת בענף שלכם: 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 או 2.50.2.
- בדקו גם IDE, GitHub Desktop, agents של CI, images של containers וכל מוצר שמאגד Git פנימית.
- עד להשלמת העדכון, אל תבצעו recursive clone למאגרים לא מוכרים והימנעו מעיבוד tags, merges, binary patches או fast-import ממקור לא אמין.
- במערכות אוטומציה, צמצמו הרשאות filesystem והפעילו jobs בתוך sandbox או container מבודד.
השורה התחתונה
זהו עדכון שראוי להתקין גם אם אינכם מפעילים שרת Git. החולשות נוגעות לפעולות שגרתיות שנראות תמימות — clone, merge ו‑patch — ולכן הגישה הבטוחה היא לעדכן את Git עצמו וגם לאתר עותקים משובצים בכלי הפיתוח והאוטומציה.
מקורות: GitHub Blog — Git security vulnerabilities announced; האתר הרשמי של Git.
תמונת המחשה: Luke Jones, Unsplash. דף המקור. שימוש לפי Unsplash License.
