Sebuah kerentanan berbahaya pada Git memungkinkan repositori jahat menjalankan kode milik peretas di komputer korban saat melakukan proses kloning secara rekursif beserta submodulnya. Proyek Git resmi menambal kelemahan keamanan tersebut pekan ini lewat rilis Git 2.56.1, disertai pembaruan serupa untuk seri 2.50 hingga 2.55 pada versi 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1, serta 2.55.1.
Celah yang diidentifikasi sebagai CVE-2026-111760 ini merupakan masalah pemotongan integer saat Git mengelola indeks internalnya. Jalur direktori yang luar biasa panjang di repositori dapat lolos dari pemeriksaan keamanan sistem Git, namun Git kemudian menulisnya ke penyimpanan lokal dengan nama yang lebih ringkas sehingga penyerang dapat memanipulasinya menjadi berkas .git.
Kondisi ini memberi celah bagi pelaku ancaman untuk menukar berkas .git milik submodul menggunakan tautan simbolis menuju folder yang memuat skrip hook atau konfigurasi jahat. Hook merupakan program otomatis yang dijalankan Git pada tahapan tertentu, sehingga begitu direktori tersebut diproses, kode milik peretas langsung dieksekusi secara otomatis.
Faktor submodul menjadi sangat krusial dalam eksploitasi ini karena Git menolak menimpa folder .git menggunakan tautan simbolis, padahal pada submodul yang baru saja dikloning, komponen .git tersebut berwujud sebagai sebuah berkas biasa.
Versi pembaruan yang tercantum dalam pengumuman rilis proyek Git kini secara tegas menolak pemrosesan jalur direktori yang sangat panjang tersebut sebelum ukurannya sempat terpotong secara keliru.
GitHub, yang mengintegrasikan Git ke berbagai layanannya, memaparkan penanganan celah ini dalam sebuah laporan terperinci. Pihaknya mengimbau pengguna segera memasang versi perbaikan resmi dari sistem operasi atau distributor Git masing-masing, serta memperbarui setiap aplikasi perangkat lunak independen yang menyertakan instalasi Git di dalamnya.
Layanan github.com dan GitHub Enterprise Cloud telah menerima tambalan keamanan ini secara langsung. Untuk platform GitHub Enterprise Server, perbaikan tersebut dihadirkan pada versi 3.19.15, 3.20.11, 3.21.9, dan 3.22.4.
Pembaruan untuk GitHub Desktop serta aplikasi GitHub Copilot sedang dalam tahap persiapan akhir. Selain itu, lingkungan kerja GitHub Codespaces dan GitHub Actions juga dipastikan segera mendapatkan versi Git yang telah ditambal tersebut.
Sementara itu, Git for Windows terpantau belum meluncurkan versi berbasis Git 2.56.1 hingga Selasa pukul 19:09 UTC, berdasarkan penelusuran label rilis yang dilakukan oleh The Hacker News.
Sebelum versi pembaruan berhasil dipasang, GitHub menyarankan sejumlah langkah pencegahan sementara, meski tindakan ini tidak menggantikan fungsi tambalan permanen.
Rilis Git kali ini turut memperbaiki lima celah keamanan tambahan lainnya.
GitLab, yang mengidentifikasi kerentanan CVE-2026-105437, menyatakan bahwa peladen hosting kode menjadi sasaran paling rentan melalui perintah git merge-tree. Peladen kerap mengeksekusi perintah itu guna menguji apakah permintaan pull atau merge request aman untuk digabungkan.
Atribut conflict-marker-size dapat dikonfigurasi melalui berkas .gitattributes yang diunggah ke repositori. Jika peladen membaca konfigurasi atribut langsung dari repositori bersangkutan, setiap pengguna yang memiliki hak untuk mendorong branch dan membuat permintaan penggabungan dapat memicu kerentanan tersebut.
Sebagai langkah mitigasi sementara bagi peladen yang belum dapat memperbarui sistem, pengelola dapat menambahkan baris conflict-marker-size=7 pada berkas info/attributes di tiap repositori, atau menonaktifkan fitur pengujian penggabungan otomatis untuk repositori yang tidak tepercaya.
