[Fonte única] Git corrige execução de código em clones recursivos

O Git corrigiu a CVE-2026-111760, falha que, segundo a reportagem, permite a um repositório malicioso executar código no computador durante um clone recursivo com submódulos. As correções estão no Git 2.56.1 e nas versões de manutenção 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1 e 2.55.1.[1]Git Patches Flaw That Lets Malicious Repositories Execute Code During Recursive Clonesthehackernews.com · rssAbrir fonte originalVer na lista de fontes

A cadeia descrita começa com um índice do Git preparado para explorar uma truncagem de inteiro. Durante o clone recursivo, o processamento dos submódulos poderia então levar à execução de código controlado pelo autor do repositório. A publicação associa esse caminho a hooks, scripts acionados automaticamente por determinadas operações do Git.[1]Git Patches Flaw That Lets Malicious Repositories Execute Code During Recursive Clonesthehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

O risco importa porque clonar código costuma ser tratado como uma etapa de obtenção de arquivos, não como autorização para executar programas. Em ambientes que baixam repositórios e submódulos automaticamente, como estações de desenvolvimento e pipelines, um clone recursivo de origem não confiável pode expor a máquina antes mesmo de o projeto ser compilado.[1]Git Patches Flaw That Lets Malicious Repositories Execute Code During Recursive Clonesthehackernews.com · rssAbrir fonte originalVer na lista de fontes

A medida prática é atualizar para uma versão corrigida da série em uso: 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1, 2.55.1 ou 2.56.1. Até a atualização, vale evitar clones recursivos de repositórios desconhecidos e revisar automações que inicializam submódulos sem validação.[1]Git Patches Flaw That Lets Malicious Repositories Execute Code During Recursive Clonesthehackernews.com · rssAbrir fonte originalVer na lista de fontes

O lote identifica a CVE, o cenário de clone recursivo, a truncagem de inteiro e as versões corrigidas. Ele não traz o comunicado técnico original, uma demonstração completa do ataque, a lista exata de todas as versões vulneráveis nem evidência sobre exploração ativa. Também não detalha as outras cinco vulnerabilidades mencionadas.[1]Git Patches Flaw That Lets Malicious Repositories Execute Code During Recursive Clonesthehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

The Hacker News afirma que um repositório malicioso pode executar código durante clones recursivos e que o Git lançou correções para esta falha e outras cinco. A conta do próprio veículo repetiu a alegação no X, portanto os dois itens não constituem confirmações independentes.[1]Git Patches Flaw That Lets Malicious Repositories Execute Code During Recursive Clonesthehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

O quadro apresentado segue uma sequência clara: uma truncagem de inteiro no tratamento do índice cria a condição inicial, um repositório especialmente preparado explora essa condição no fluxo de submódulos e o clone recursivo abre o caminho para execução de código. Em seguida, o projeto Git distribuiu correções para as séries 2.50 a 2.56.[1]Git Patches Flaw That Lets Malicious Repositories Execute Code During Recursive Clonesthehackernews.com · rssAbrir fonte originalVer na lista de fontes

1 grupos independentes, 1 atualizações e 0 interações.

Tecnicamente, a CVE-2026-111760 é descrita como uma truncagem de inteiro no tratamento do índice do Git. A publicação social acrescenta que o ataque abusa de hooks de submódulos para executar código controlado pelo atacante, mas o lote não contém detalhes suficientes para verificar cada etapa interna dessa exploração.[1]Git Patches Flaw That Lets Malicious Repositories Execute Code During Recursive Clonesthehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

A base disponível contém uma reportagem do The Hacker News e uma publicação no X da conta do mesmo veículo. Há uma imagem HTTPS associada à reportagem, mas não há neste lote um aviso oficial do projeto Git, registro da CVE, patch ou análise independente. As conclusões técnicas devem, por isso, permanecer atribuídas à reportagem.[1]Git Patches Flaw That Lets Malicious Repositories Execute Code During Recursive Clonesthehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes