Git修補6項資安漏洞，惡意儲存庫恐觸發任意程式碼執行

Git專案於11月10日修補6項資安漏洞，其中CVE-2026-111760可能讓攻擊者透過特製的惡意儲存庫，在特定複製情境下執行任意程式碼，CVSS 3.1風險分數為8.0，屬於高風險等級。

GitHub說明，CVE-2026-111760源自Git處理索引資料時的整數截斷問題。攻擊者可利用特製的超長路徑，將子模組的.git檔案替換成指向惡意設定或掛鉤（hooks）目錄的符號連結，讓Git後續操作時執行攻擊者控制的程式碼。Git專案目前認為，這項漏洞只有在使用者透過--recurse-submodules選項遞迴複製儲存庫及其子模組時才可能觸發。其餘5項漏洞則涵蓋路徑穿越、記憶體損毀、越界讀取及非預期檔案存取。其中，CVE-2026-105437可能在大型合併作業時造成堆積記憶體損毀，影響處理不受信任程式碼合併作業的應用程式及程式碼代管服務。

Git也釋出2.56.1版及多個舊版維護分支的修補版本。GitHub.com與GitHub Enterprise Cloud已完成修補，GitHub Enterprise Server也已提供3.19.15、3.20.11、3.21.9及3.22.4版更新。至於GitHub Desktop及GitHub Copilot app，GitHub在11月10日公告時仍在協調發布更新，GitHub Codespaces及GitHub Actions也將陸續更新。企業也應檢查內含Git的應用程式是否已取得修補更新。Git專案建議使用者在完成更新前，避免遞迴複製不受信任的儲存庫。