Le projet Git vient de publier de nouvelles versions pour adresser six failles de sécurité notables, dont une qui permettrait l’exécution de code à distance si un développeur clone un dépôt malveillant en utilisant l’option récursive. Selon les annonces de github.com, cette vulnérabilité, identifiée sous CVE-2026-111760, résulte d’une troncature d’entier dans la gestion de l’index de Git. L’idée, en substance, est qu’un chemin extrêmement long, contrôlé par un attaquant, pourrait passer les vérifications de sécurité initiales. Git risquerait alors d’écraser le fichier .git d’un sous-module avec un lien symbolique pointant vers un répertoire contenant des hooks ou des configurations malveillantes, exécutant ainsi le code désiré dès que Git utilise ce répertoire.

Les développeurs qui utilisent le clonage récursif de dépôts provenant de sources non maîtrisées sont les plus exposés à ce scénario. GitHub recommande vivement d’éviter de cloner des dépôts inconnus, car c’est le point d’entrée principal de cette attaque. Les correctifs pour cette faille et les cinq autres sont inclus dans Git 2.56.1, avec des versions rétroportées pour les séries de maintenance précédentes.

Diverses failles impactent l’écosystème Git

L’annonce de GitHub ne concerne pas uniquement le risque de code à distance. En effet, la mise à jour apporte des correctifs contre d’autres problèmes. Il y a par exemple CVE-2026-113408, qui permet un dépassement de chemin (path traversal) lorsque l’on clone un dépôt vide via le protocole Git v2, si le serveur malveillant fournit un nom de branche contenant des éléments de traversée de chemin. De même, CVE-2026-114467 révèle une corruption de la mémoire de la pile lorsque Git tente de retirer des signatures GPG d’un message contenant plus de deux signatures ; cela peut mener à un déni de service si un service d’hébergement effectue ce type de fusion pour des utilisateurs.

On retrouve aussi des failles plus techniques. CVE-2026-114469 concerne un dépassement de lecture en appliquant des correctifs binaires, car la vérification de la taille ne tient pas compte de l’expansion après décompression. Le système de fusion de Git présente également des risques : CVE-2026-105437 décrit un débordement de pile (heap corruption) lors de fusions très volumineuses. Le calcul initial de la mémoire requise peut déborder, menant à une allocation de tampon insuffisante. Il faut noter qu’un tel dépassement peut être déclenché par des utilisateurs qui poussent des branches et demandent leur fusion sur un serveur, sans qu’un administrateur n’ait à intervenir.

Ce que les équipes doivent surveiller

Face à cette série de problèmes, la mise à jour est présentée comme la méthode de protection la plus efficace. GitHub a déployé ces correctifs sur ses propres infrastructures, incluant github.com et GitHub Enterprise Cloud. Pour ceux qui utilisent GitHub Enterprise Server, des versions spécifiques sont disponibles, telles que 3.19.15, 3.20.11, 3.21.9 et 3.22.4. Parallèlement, les outils qui intègrent Git, comme GitHub Desktop et l’application GitHub Copilot, reçoivent également des versions patchées.

En attendant l’installation de ces correctifs, les conseils de prudence restent valables : il est conseillé de ne jamais cloner de dépôts provenant de sources non fiables, ni de fusionner ou de traiter des patchs binaires de sources dont on ne maîtrise pas l’origine. Il est aussi pertinent de se souvenir que d’autres attaques, comme les failles de chaîne d’approvisionnement affectant des dizaines de milliers de dépôts sur GitHub, rappellent la nécessité d’une vigilance constante sur les dépendances utilisées dans le développement.

Fiche technique

Données : NVD (NIST).

Sources

• Recursive clones are susceptible to Remote Code Execution, github.com
• Git security vulnerabilities announced, GitHub, 10 novembre 2026
• Git Patches Flaw That Lets Malicious Repositories Execute Code During Recursive Clones, The Hacker News, 10 novembre 2026
• New Supply Chain Attack Compromises Tens of Thousands of GitHub Repositories, Infosecurity Magazine, 9 novembre 2026
• CVE-2026-105437, NVD (NIST)