Git'te Yeni Güvenlik Açığı: Zararlı Depolar Kod Çalıştırabiliyor

Git altyapısı, zararlı bir depodan kod çalıştırılmasına izin veren kritik bir zafiyeti giderdi. Geliştiriciler, 2.56.1 sürümü ve 2.50 ile 2.55 arasındaki seriler için hazırlanan yamalarla bu güvenlik sorununun üstesinden geldi. Başarımı sağlayan ana açık, CVE-2026-111760 olarak takip ediliyor.

Açığın Teknik Nedeni​

Güvenlik uzmanları, zafiyetin Git'in indeksini işleme biçimindeki bir tamsayı kısaltma (integer truncation) hatasından kaynaklandığını tespit etti. Çok uzun bir dosya yolu, Git'in güvenlik kontrolünden geçebiliyor; ancak program bu yolu diske yazarken kısaltabiliyor. Saldırganlar, bu ismi .git olarak ayarlayarak bir alt modülün .git dosyasını, zararlı kancaların (hooks) bulunduğu bir klasöre yönlendiren bir sembolik bağlantıyla değiştirebiliyor. Git, belirli zamanlarda kancaları otomatik olarak çalıştırdığı için, saldırganın kötü amaçlı kodu bu yolla tetikleniyor.
Bu açığın etkisini artıran faktör, alt modüllerin (.git) taze klonlanmalarında sembolik bir klasör yerine tek bir dosya olarak temsil edilmesidir. Git, normal .git klasörlerini sembolik bağlamışa değiştirme işlemini reddeder; ancak bu durum yeni klonlanmış bir alt modül üzerinde aşılabiliyor.

Düzeltilen Diğer Açıklar​

Yeni güvenlik yamaları, ana zafiyetle birlikte beş ek sorunu daha çözüyor. CVE-2026-113408 açığı, Git protokolü v2 üzerinden boş bir deponun klonlanması sırasında saldırgan sunucunun yol gezinme (path traversal) içeren dal adları göndermesine izin vererek veri yazımını hedef dışına kaydırabiliyor. CVE-2026-114467 sorunu, GPG imzası içeren etiketlerin birleştirilmesinde bellek bozulmasına ve hizmetin kesilmesine neden oluyor. Ayrıca, yaklaşık 1 GiB'lık sınırı aşan ikili yamalar (CVE-2026-114469) ve çok sayıda çakışma içeren devasa birleştirmeler (CVE-2026-105437) bellek güvenliği ihlallerine yol açabiliyor. Son olarak, git fast-import komutundaki üç özellik (CVE-2026-114466), kötü amaçlı kullanımlara karşı reddediliyor ve özel güvenlik işaretleri olmadan aktif kılınamıyor.

GitHub ve GitLab'in Önlemleri​

GitHub, kendi yazılımları aracılığıyla dağıttığı Git sürümlerini güncellediğini açıkladı. Şirket, github.com ve GitHub Enterprise Cloud platformlarındaki yamaların aktif olduğunu duyurdu. GitHub Enterprise Server için güncelleme 3.19.15, 3.20.11, 3.21.9 ve 3.22.4 sürümleriyle yayımlandı. GitHub Desktop ve GitHub Copilot uygulamaları için de yamalı sürümlerin hazırlanmakta olduğu bildirilirken, GitHub Codespaces ve GitHub Actions da yeni Git tabanını kullanmaya geçiyor.
GitLab, CVE-2026-105437 açığının kod saklama sunucuları üzerindeki etkisine dikkat çekti. GitLab açıklamasına göre, sunucular istekleri kontrol etmek için git merge-tree komutunu çalıştırırken depodaki .gitattributes dosyasındaki conflict-marker-size özelliği üzerinden bu açık tetiklenebiliyor. Henüz yamalanamayan sunucular için çalışma etrafı (workaround) olarak her depoya conflict-marker-size=7 ayarının eklenmesi veya güvencesiz depolardaki birleştirme kontrollerinin devre dışı bırakılması önerildi. Ek olarak, Git for Windows projesi, perşembe günü itibarıyla 2.56.1 tabanlı bir sürüm yayımlamamış durumdaydı.

Sıkça Sorulan Sorular​

Git 2.56.1 yaması hangilerini kapsıyor?​

Git projesi, 2.50 ile 2.55 arasındaki tüm versiyon serileri için eşleşen yamalar yayımladı: 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1 ve 2.55.1. Ana düzeltme ise 2.56.1 ile birlikte yapıldı.

CVE-2026-111760 açığının kökeni nedir?​

Açık, Git'in tamsayı kısaltma hatasından kaynaklanıyor. Çok uzun bir dosya yolu, güvenlik denetimlerinden geçip kısaltılarak .git dosyasına dönüşebiliyor. Bu durum, saldırganların alt modüllerde sembolik bağlar kullanarak zararlı kancaları tetiklemesine olanak sağlıyor.

Yama bekleyen kullanıcılar ne yapmalı?​

GitHub, yamalar kurulana dek şunları öneriyor: Sadece güvendiğiniz sunuculardan klonlama yapın. Güvenmediğiniz depoları alt modüllerle birlikte klonlamayın. Başkalarına ait içeriği veya etiketleri birleştirmeyin. Ayrıca, güvendiğiniz kaynaklardan ikili yamalar veya fast-import akışları işleme almayın.

GitLab sunucularını koruma önerisi nedir?​

GitLab, henüz güncelleme yapamayan sunucular için .gitattributes veya info/attributes dosyalarına conflict-marker-size=7 satırının eklenmesini öneriyor. Alternatif olarak, güvencesiz depolardaki birleştirme kontrollerini tamamen kapatarak riskin azaltılması istendi.

Bu güvenlik güncellemesini hangi platformlar aldı?​

GitHub, sunucu tarafındaki çözümleri github.com, GitHub Enterprise Cloud, GitHub Codespaces ve GitHub Actions'a uyguladı. Masaüstü uygulamaları olan GitHub Desktop ve GitHub Copilot için ise yamaların dağıtımı hazırlık aşamasında.