Atualização de segurança do Git: os runners de CI também precisam de correção

Em 10 de novembro, o projeto Git lançou correções para seis vulnerabilidades. Uma pode permitir execução de código ao clonar recursivamente um repositório malicioso. O componente afetado é o próprio Git: inclua no inventário máquinas de desenvolvimento, runners de CI e aplicações que incorporam sua própria cópia.

O que a versão corrige

O anúncio do GitHub identifica CVE-2026-111760 em clones recursivos e CVE-2026-113408 no HEAD anunciado por um servidor. Os demais problemas afetam merges de tags assinadas, patches binários, merges grandes e fluxos fast-import. As consequências diferem: nem todos permitem execução remota de código.

Instale Git 2.56.1 ou a versão corrigida da sua linha de manutenção: 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 ou 2.50.2. Consulte o aviso e eventuais backports do distribuidor e atualize aplicações que incluem Git.

Resposta prática

1. Inventarie versões do Git em máquinas, imagens de build, runners de CI e serviços que processam repositórios.
2. Aplique correções do distribuidor confiável, reconstrua imagens e verifique a versão realmente executada.
3. Até atualizar, evite clones recursivos de repositórios não confiáveis e merges, patches binários e fluxos fast-import não confiáveis. Essas medidas não substituem a atualização.
4. Defina responsáveis e acompanhe a correção; uma varredura do repositório não comprova a versão de Git usada por um runner.

Como a Plexicus ajuda

A remediação da Plexicus ajuda no acompanhamento de achados validados de segurança de aplicações. Esta atualização também exige um processo de correção de infraestrutura: não suponha que uma varredura de aplicação atualize o Git.

Imagem: logotipo Git de Jason Long, CC BY 3.0; original sem alterações sobre fundo editorial.