Git projesi, 10 Kasım 2026’da altı güvenlik açığını kapatan Git 2.56.1’i ve 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 ile 2.50.2 bakım sürümlerini yayımladı; GitHub’ın duyurusuna göre açıklardan CVE-2026-111760, kötü niyetli bir deponun özyinelemeli olarak klonlanması sırasında saldırganın kodunun çalıştırılmasına yol açabiliyor.
Künye
| Proje | Git (sürüm kontrol sistemi) |
|---|---|
| Duyuru tarihi | 10 Kasım 2026 |
| Ana düzeltme sürümü | Git 2.56.1 |
| Bakım sürümleri | 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3, 2.50.2 |
| Açık sayısı | 6 |
| En ciddi açık | CVE-2026-111760: özyinelemeli klonda kod çalıştırma |
| GitHub Enterprise Server | 3.19.15, 3.20.11, 3.21.9, 3.22.4 |
| Duyuruyu yazan | Elijah Newren (GitHub) |
Altı Açık Tek Tek
| CVE | Konu | Olası sonuç |
|---|---|---|
| CVE-2026-111760 | Özyinelemeli klon | Saldırganın kodunun çalıştırılması |
| CVE-2026-113408 | Protocol v2’de sunucunun bildirdiği HEAD | Referans dizini dışına yazma |
| CVE-2026-114467 | İmza ayıklama | Yığın bozulması, hizmet kesintisi |
| CVE-2026-114469 | İkili yama uygulama | Sınır dışı okuma, Git’in çökmesi |
| CVE-2026-105437 | Büyük birleştirmeler | Heap bellek bozulması |
| CVE-2026-114466 | fast-import akışları | Depo dışındaki dosyalara erişim |
CVE-2026-111760’ta Git’in dizin (index) işlemesindeki bir tamsayı kesilmesi, çok uzun bir yolun doğrulamadan bir adla geçip daha kısa bir adla yazılmasına neden oluyor. Saldırgan bu farkı kullanarak bir alt modülün .git dosyasını kötü niyetli yapılandırma veya kanca (hook) içeren bir dizine işaret eden sembolik bağlantıyla değiştirebiliyor. CVE-2026-113408’de, boş bir depo protocol v2 ile klonlanırken sunucunun bildirdiği HEAD hedefi doğrulanmıyordu. CVE-2026-114467, ikiden fazla GPG imzası içeren bir etiketin birleştirilmesiyle tetikleniyor ve kullanıcılar adına birleştirme yapan barındırma hizmetlerini de etkileyebiliyor.
CVE-2026-114469’da yaklaşık 1 GiB’lık yama sınırı, sıkıştırılmış ikili yamaların açıldığında bu sınırı aşabilmesi nedeniyle atlatılabiliyordu. CVE-2026-105437, çok büyük birleştirme sonuçlarında bellek hesabının taşmasıyla ilgili. CVE-2026-114466’nın düzeltmesinden sonra fast-import akışında gelen üç özellik, çağıran taraf --allow-unsafe-features seçeneğini açıkça vermedikçe reddediliyor.
GitHub ve Diğer Araçlar
GitHub, düzeltmeleri github.com, GitHub Enterprise Cloud ve veri yerleşimli Enterprise Cloud’a uyguladığını; Enterprise Server için 3.19.15, 3.20.11, 3.21.9 ve 3.22.4 sürümlerini yayımladığını bildirdi. GitHub Desktop, GitHub Copilot uygulaması, Codespaces ve Actions’ın da yamalı Git sürümlerini alacağı belirtiliyor. Bir başka kaynak kod platformundaki güncel bir kritik yama için GitLab CVE-2026-110264 sayfamıza bakabilirsiniz.
Ne Yapılmalı?
Duyurunun önerisi, Git’in 2.56.1’e veya kullanılan bakım serisinin yamalı sürümüne güncellenmesi ve kendi Git kopyasını içeren uygulamaların da güncellenmesidir. Kurulu sürüm terminalde git --version komutuyla görülebilir. Hemen güncelleyemeyenler için öneriler şunlar: yalnızca güvenilir sunuculardan klonlamak, güvenilmeyen depoları özyinelemeli klonlamamak, güvenilmeyen içerik veya etiketleri birleştirmemek ve güvenilmeyen kaynaklardan gelen ikili yamaları ya da fast-import akışlarını işlememek. GitHub bu önlemlerin güncellemenin yerini tutmadığını vurguluyor.
Özyinelemeli Klon Nedir?
Bir Git deposu, alt modül adı verilen başka depolara bağlantı içerebilir. Özyinelemeli klon, ana depo indirilirken bu alt modüllerin de otomatik olarak indirilmesidir. Saldırgan kendi kontrolündeki bir alt modül üzerinden Git’in yapılandırma dosyalarına veya kancalarına müdahale edebilirse, kullanıcı yalnızca bir depoyu klonladığını düşünürken bilgisayarında komut çalıştırılmış olabilir. Bu yüzden özyinelemeli klon açıkları geliştiriciler için ayrıca önemlidir.
Bu Sayfada Ne Yok?
- CVSS puanları ve önem dereceleri: Git projesinin güvenlik bildirimleri okunamadı.
- Açıkları bulan araştırmacıların adları: okunan duyuruda yer almıyor.
- Açıkların sahada istismar edildiğine dair bilgi: duyuruda böyle bir ifade yok.
- Altı açığın hepsinin uzaktan kod çalıştırmaya yol açtığı iddiası: duyuruya göre kod çalıştırma yalnızca CVE-2026-111760’ta söz konusu.
- Linux dağıtımlarının ve macOS ile gelen Git’in yamalı paket sürümleri: bu sayfada listelenmemiştir.
- GitHub Desktop ve Copilot uygulaması için yamalı sürüm numaraları: duyuruda verilmemiş.
- Git projesinin kendi e-posta listesindeki duyuru metni: okunmadı; bilgiler GitHub Blog’dan alınmıştır.
Sık Sorulan Sorular
Git 2.56.1 ne zaman yayımlandı?
10 Kasım 2026’da, altı güvenlik açığını kapatan sürüm olarak.
Hangi Git sürümleri yamalı?
2.56.1 ile bakım serilerinde 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 ve 2.50.2.
En ciddi Git açığı hangisi?
CVE-2026-111760. Kötü niyetli bir deponun özyinelemeli klonlanması sırasında kod çalıştırılmasına yol açabiliyor.
Bütün açıklar uzaktan kod çalıştırıyor mu?
Hayır. Duyuruya göre kod çalıştırma yalnızca CVE-2026-111760’ta var; diğerleri dizin dışına yazma, bellek bozulması, çökme veya dosya erişimi.
GitHub kullanıcılarının bir şey yapması gerekiyor mu?
github.com tarafı yamalandı. Yerel bilgisayardaki Git’in ve Enterprise Server kurulumlarının ayrıca güncellenmesi gerekiyor.
Hemen güncelleyemezsem ne yapmalıyım?
Yalnızca güvenilir sunuculardan klonlayın, güvenilmeyen depoları özyinelemeli klonlamayın ve güvenilmeyen içerikleri birleştirmeyin.
Kaynak ve kapsam: Bilgiler GitHub’ın 10 Kasım 2026 tarihli Git security vulnerabilities announced yazısından ve git-scm.com’daki güncel sürüm bilgisinden okunmuştur. CVSS puanları, bulan araştırmacılar ve dağıtım paketleri kaynakta bulunmadığından yazılmamıştır. Veri tarihi: 12 Kasım 2026.
Yorumlar (0)
Henüz yorum yok. İlk yorumu siz yapın.