10 de noviembre de 2026
Fuente: GitHub anunció el 10 de noviembre seis vulnerabilidades corregidas en Git. El proyecto publicó parches para varias ramas, incluida Git 2.56.1. Una de las fallas, CVE-2026-111760, puede permitir ejecución de código al clonar recursivamente un repositorio malicioso con submódulos.
El Resumen (Sin rodeos)
El problema principal está en la validación de rutas muy largas: un repositorio preparado por un atacante puede hacer que Git acepte una ruta con un nombre y la escriba con otro más corto, sustituyendo un archivo de control del submódulo por un enlace simbólico. Si Git utiliza luego la configuración o los hooks maliciosos de esa carpeta, puede ejecutarse código controlado por el atacante. El escenario requiere clonar un repositorio no confiable con la opción de clonación recursiva; no es una ejecución remota sin interacción. Git publicó la corrección en 2.56.1 y versiones de mantenimiento 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 y 2.50.2. GitHub recomienda actualizar también las aplicaciones que incluyen su propia copia de Git.
Lo primero que se me viene a la mente
La condición de ataque es concreta: repositorio malicioso más clonación recursiva. Como esa función descarga automáticamente los submódulos, no conviene usarla con repositorios de origen dudoso; actualizar sigue siendo más barato que aprender Git desde un incidente.
¿Quién es quién en la noticia?
- Git - Sistema distribuido de control de versiones que desarrolladores
usan para guardar y compartir cambios de código.
- Submódulo - Repositorio Git enlazado desde otro repositorio.
- Hook - Programa que Git puede ejecutar en ciertos momentos de un flujo de
trabajo.
- CVE-2026-111760 - Identificador de la falla de ejecución de código
durante clones recursivos.
- GitHub - Plataforma de desarrollo que publicó el aviso y confirmó parches
para sus propios servicios.
Compartir