Git修复高危漏洞CVE-2026-111760，恶意仓库可致代码执行
Git于11月10日修复6项安全漏洞，其中CVE-2026-111760允许通过恶意子模块执行任意代码，GitHub平台已同步更新。
Git项目于2026年11月10日发布补丁，修复了六项安全漏洞。其中最严重的是CVE-2026-111760，其CVSS 3.1风险评分为8.0（高风险）。该漏洞源于Git处理索引数据时的整数截断问题。攻击者可以构造特制的超长路径，将子模块的.git文件替换为指向恶意配置或钩子（hooks）目录的符号链接。当用户后续操作时，Git可能会执行攻击者控制的代码。
根据GitHub的说明，这项漏洞主要在使用者通过--recurse-submodules选项递归克隆包含子模块的存储库时才可能被触发。其余五项漏洞涵盖了路径穿越、内存损坏、越界读取及非预期文件访问等问题。例如，CVE-2026-105437可能在大型合并操作中造成堆内存损坏，影响处理不受信任代码合并的应用程序和代码托管服务。
Git已发布2.56.1版本以及多个旧版维护分支的修补版本。GitHub.com和GitHub Enterprise Cloud已完成修复。GitHub Enterprise Server也提供了3.19.15、3.20.11、3.21.9及3.22.4版本的更新。至于GitHub Desktop和GitHub Copilot应用，GitHub在公告时仍在协调发布更新，GitHub Codespaces和GitHub Actions也将陆续更新。
企业应检查内含Git的应用程序是否已取得修补更新。Git项目建议使用者在完成更新前，避免递归克隆不受信任的存储库。