Gitプロジェクトは2026年11月10日、6件の脆弱性を修正した新バージョンを公開した。GitHubが発表した内容によると、悪意あるリポジトリを再帰的にクローンしたときのコード実行も含まれる。
修正は「Git 2.56.1」に入っている。2.55.1、2.54.1、2.53.1、2.52.1、2.51.3、2.50.2にも修正が反映された。GitHubは、2.56.1か使用中の系列の修正版への更新を勧めている。
6件の脆弱性の概要
最も影響が大きいのは「CVE-2026-111760」である。インデックス処理の整数の切り捨てにより、極端に長いパスが検証をすり抜ける。攻撃者はサブモジュールの.gitファイルをシンボリックリンクに差し替え、再帰的クローン中に任意のコードを実行させられる。
「CVE-2026-113408」は、Gitプロトコルv2で空のリポジトリをクローンするときの問題だ。悪意あるサーバーがパス移動の文字列を含む参照先を示すと、意図しない場所に書き込める。
そのほか、署名の取り除きでのスタック破壊（CVE-2026-114467）、バイナリパッチ適用時の範囲外読み取り（CVE-2026-114469）、大きなマージでのヒープ破壊（CVE-2026-105437）、fast-importによるファイルアクセス（CVE-2026-114466）が修正された。
影響を受ける場面
マージやパッチ適用の問題は、悪意ある入力を処理した場合に、メモリ破壊やクラッシュにつながる。署名を含むタグのマージは、サービスが利用者の代わりにマージする場合にも影響しうる。GitHubは、信頼できない内容をGitでマージするアプリケーションやホスティングサービスも影響を受けるとしている。
fast-importでは、一部の機能が入力ストリームから使えないよう制限された。必要な場合は、利用者が「--allow-unsafe-features」を明示する必要がある。GitHubは、ストリームの作成元を信頼できるときだけ使うよう求めている。
GitHubの対応と更新方法
GitHubは、github.com、GitHub Enterprise Cloud、データレジデンシー版のGitHub Enterprise Cloudに修正を展開済みだ。GitHub Enterprise Serverは、3.19.15、3.20.11、3.21.9、3.22.4で更新が提供されている。管理者には、できるだけ早い更新を勧めている。
GitHub DesktopとGitHub Copilotアプリには、修正済みのGitを含む版を調整して出す予定だ。GitHub CodespacesとGitHub Actionsにも、修正版が順次入る。公式は、OSやGitの配布元から修正版を入れることが最も有効な対策だとしている。
企業への示唆
最初に確認したいのは、社内の開発端末とビルド環境で動くGitのバージョンである。Gitを内蔵するアプリも更新が必要になる。公式は、Gitを同梱するアプリも更新するよう求めている。
再帰的クローンは、外部のリポジトリやサブモジュールを取り込む作業で起こる。信頼できないリポジトリを、権限の強い環境でクローンしていないかを見直したい。CI/CDの自動処理も点検の対象になる。
GitHub Enterprise Serverを自社で運用している場合は、示された版への更新計画を立てたい。すぐに更新できない場合、公式は暫定の注意点を挙げている。信頼できるサーバーからだけクローンし、信頼できないリポジトリの再帰的クローンは避ける。信頼できない内容やタグのマージ、バイナリパッチ、fast-importストリームの処理も避ける。ただし、これらは修正の適用の代わりにはならない。
ITトレンドでバージョン管理についてチェック！[バージョン管理システムとは？導入メリットやおすすめの３製品も紹介]
開発基盤の脆弱性対応はこちらもチェック！[GitLabが緊急パッチ19.4.1を公開、CVSS 9.9のコード実行など脆弱性11件を修正——自己管理型は即時アップデートを推奨]
まとめ
Gitは6件の脆弱性を修正し、Git 2.56.1と各系列の修正版を公開した。再帰的クローンでのコード実行を含むため、開発現場では早めの更新が望ましい。
日本企業は、端末、CI/CD、Gitを同梱するアプリ、自社運用のサーバーを洗い出し、更新の優先順位を決めたい。
