Git corrige una falla que permite ejecutar código al clonar un repositorio malicioso con sus submódulos

La falla CVE-2026-111760 se corrigió en Git 2.56.1 y en versiones de las series 2.50 a 2.55. Git for Windows aún no tenía su versión corregida el martes por la tarde.

Una falla en Git permite que un repositorio malicioso ejecute código del atacante en la computadora que lo clona de forma recursiva, junto con sus submódulos, informó The Hacker News el 10 de noviembre de 2026. El proyecto Git la corrigió en Git 2.56.1 y en las versiones 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1 y 2.55.1.

La falla, CVE-2026-111760, es un truncamiento de enteros en el manejo del índice de Git. Una ruta extremadamente larga pasa el control de seguridad, pero Git la escribe en disco con un nombre más corto que el atacante puede fijar como .git. Así puede cambiar el archivo .git de un submódulo por un enlace simbólico a una carpeta con hooks maliciosos, que son programas que Git ejecuta en momentos fijos.

GitHub ya aplicó las correcciones en github.com y GitHub Enterprise Cloud; para GitHub Enterprise Server están en las versiones 3.19.15, 3.20.11, 3.21.9 y 3.22.4. La empresa recomienda instalar una versión corregida y actualizar cualquier aplicación que traiga su propia copia de Git. Git for Windows no había publicado su versión basada en 2.56.1 al martes a las 19:09 UTC.

Las nuevas versiones corrigen además otras cinco fallas. Una de ellas, que GitLab registró como CVE-2026-105437, puede afectar a servidores de código que revisan si una solicitud de fusión se puede integrar. Los equipos que administran esos servidores son los primeros que deben actualizar.

Fuente: The Hacker News: «Git Patches Flaw That Lets Malicious Repositories Execute Code During Recursive Clones», 10 de noviembre de 2026.