Git, la herramienta que casi todos los equipos de desarrollo usan para guardar el historial de su código, recibió una actualización de seguridad el 10 de noviembre de 2026. Corrige seis fallas, y la más seria permite que un repositorio preparado por un atacante ejecute código en tu computadora mientras lo descargas.
Si clonas proyectos de internet, trabajas con submódulos o administras servidores que procesan repositorios de otras personas, esta nota es para ti.
¿Qué pasó?
El proyecto Git publicó la versión 2.56.1 y, para quien no puede saltar de versión, también las 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 y 2.50.2. GitHub lo anunció en su blog y el sitio especializado SecurityOnline confirmó la misma lista de versiones y de fallas.
La falla principal es la CVE-2026-111760. Afecta a los clonados recursivos, es decir, cuando descargas un proyecto junto con sus submódulos, que son otros repositorios metidos dentro del principal. Un error al medir la longitud de una ruta muy larga deja que un archivo pase la revisión con un nombre y se guarde con otro más corto. Con ese truco, un atacante puede apuntar Git hacia una configuración suya y ejecutar código en tu equipo.
Las otras cinco fallas permiten escribir archivos fuera de la carpeta de referencias al clonar un repositorio vacío desde un servidor malicioso, dañar la memoria al fusionar etiquetas con más de dos firmas o al hacer fusiones enormes, provocar cierres al aplicar parches binarios y leer o escribir archivos mediante ciertas opciones de importación rápida. Ninguna de las fuentes reporta ataques reales hasta ahora.
¿Por qué te importa?
Clonar un proyecto de GitHub para probarlo es algo que hacemos todos los días, muchas veces sin revisar quién lo publicó. Con esta falla, ese simple paso podía bastar para que alguien tomara control de tu computadora si usabas el clonado con submódulos.
También importa del lado de los servidores. GitHub explica que los servicios que fusionan contenido a nombre de sus usuarios pueden verse afectados por las fallas de memoria. Por eso ya corrigió GitHub.com y lanzó GitHub Enterprise Server 3.19.15, 3.20.11, 3.21.9 y 3.22.4. Además, Git for Windows publicó su versión 2.56.1 con las seis correcciones, y GitHub dice que prepara versiones corregidas de GitHub Desktop y de la app de Copilot.
¿Qué puedes hacer?
- Revisa tu versión con
git --versiony actualiza a la 2.56.1 o a la versión corregida de tu rama, desde el instalador oficial o el gestor de paquetes de tu sistema. - En Windows, instala Git for Windows 2.56.1. En Mac, actualiza con tu gestor de paquetes en cuanto ofrezca la nueva versión.
- Actualiza también los programas que traen su propio Git, como GitHub Desktop, cuando salga su versión corregida.
- Mientras actualizas, no hagas clonados recursivos de repositorios que no conoces y no fusiones etiquetas ni parches de fuentes desconocidas.
- Si administras GitHub Enterprise Server o servidores de integración continua, actualízalos cuanto antes; GitHub pide hacerlo lo más pronto posible.
Sigue leyendo
Fuentes
- Blog de GitHub: Git security vulnerabilities announced
- SecurityOnline: Git 2.56.1 Patches Six Security Flaws Including Recursive Clone Code Execution
- Git for Windows en GitHub: Git for Windows 2.56.1
Imagen de portada: foto de Lukas Blazek en Pexels.