Sebuah kerentanan berbahaya di dalam sistem Git memungkinkan repositori jahat mengeksekusi kode peretas pada komputer korban yang melakukan kloning rekursif beserta submodulnya. Tim proyek Git telah resmi menambal kelemahan tersebut pada pekan ini melalui peluncuran Git versi 2.56.1, disertai pembaruan serupa untuk lini seri 2.50 hingga 2.55 yakni pada versi 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1, dan 2.55.1.
Kelemahan sistem yang dilacak menggunakan kode CVE-2026-111760 ini bersumber dari masalah pemotongan bilangan bulat (integer truncation) sewaktu Git memproses indeksnya. Sebuah jalur direktori berukuran sangat panjang pada repositori sanggup lolos dari pemeriksaan keamanan Git, tetapi program tersebut kemudian menuliskannya ke penyimpanan disk menggunakan nama yang lebih pendek, yang sengaja dirancang peretas agar bernama .git.
Kondisi ini memberi celah bagi penyerang untuk menukar berkas .git kepunyaan submodul dengan tautan simbolik (symbolic link) menuju sebuah folder khusus berisikan konfigurasi atau hooks jahat. Hooks sendiri merupakan skrip program otomatis yang dipicu Git pada fase-fase tertentu, sehingga saat sistem memproses folder tersebut, program milik peretas akan langsung tereksekusi.
Faktor keberadaan submodul sangat krusial dalam kasus ini karena Git sejatinya menolak menimpa direktori .git dengan tautan simbolik, namun pada submodul yang baru saja dikloning, objek .git tersebut masih berwujud berkas biasa.
Deretan versi pembaruan yang tercantum resmi di dalam pengumuman rilis proyek Git kini secara tegas menolak pembacaan struktur jalur yang luar biasa panjang tersebut sebelum ukurannya sempat terpotong secara keliru.
GitHub, platform yang turut menyertakan Git dalam berbagai perangkat lunaknya, menguraikan perbaikan tersebut melalui tulisan teknis terperinci. Pihaknya menyarankan pengguna menginstal versi aman dari distributor sistem operasi maupun Git, sekaligus memperbarui semua aplikasi independen yang membawa salinan Git di dalamnya.
Pihak pengelola telah menerapkan pembaruan tersebut pada github.com serta GitHub Enterprise Cloud. Untuk para pelanggan GitHub Enterprise Server, perbaikan disematkan ke dalam versi 3.19.15, 3.20.11, 3.21.9, dan 3.22.4.
Pembaruan teranyar untuk GitHub Desktop serta aplikasi GitHub Copilot tengah dipersiapkan. Fasilitas GitHub Codespaces dan sistem GitHub Actions juga dijadwalkan segera menerima pembaruan Git ini.
Git for Windows terpantau belum menyediakan pembaruan berbasis Git 2.56.1 hingga hari Selasa pukul 19:09 UTC, sebagaimana hasil penelusuran label rilis oleh media The Hacker News.
Sebelum pembaruan resmi terpasang, GitHub merekomendasikan beberapa tindakan mitigasi pencegahan darurat, kendati opsi ini tidak sepenuhnya menggantikan peran tambalan keamanan:
Rilis terbaru Git kali ini sekaligus menuntaskan lima kerentanan keamanan tambahan lainnya:
GitLab, entitas yang menetapkan pengenal CVE-2026-105437, mengungkapkan bahwa peladen hosting kode menjadi sasaran paling rentan diserang via perintah git merge-tree. Server biasanya mengeksekusi perintah itu guna memeriksa kelayakan penggabungan pull atau merge request.
Atribut conflict-marker-size dapat dikonfigurasi melalui berkas .gitattributes yang diunggah ke repositori. Jika peladen memproses pembacaan atribut repositori tersebut, pengguna mana pun yang memiliki izin mendorong cabang dan membuka pull atau merge request sanggup memicu eksploitasi celah.
Sebagai solusi sementara bagi peladen yang belum memungkinkan untuk melakukan pembaruan, pengelola disarankan menambahkan pengaturan conflict-marker-size=7 ke dalam berkas info/attributes pada tiap repositori, atau menonaktifkan mekanisme pemeriksaan penggabungan otomatis untuk repositori yang tidak tepercaya.
