Git 修复递归克隆代码执行漏洞 CVE-2026-111760，多版本已发布补丁

evilsocket · x · 2026-11-11

Git 项目本周修复了一个高危漏洞 CVE-2026-111760：恶意仓库在递归克隆（含子模块）时可在用户机器上执行任意代码。

• 漏洞原理：Git 处理 index 时的整数截断问题——超长路径能通过安全检查，但写入磁盘时被截短为攻击者可控的名字（如 .git）
• 攻击链：攻击者把子模块的 .git 文件替换为指向恶意 hooks 或配置目录的符号链接，Git 运行 hooks 时即执行攻击者代码；新克隆的子模块中 .git 是文件而非目录，因此绕过了原有防护
• 修复版本：Git 2.56.1，以及 2.50.2、2.51.3、2.52.1、2.53.1、2.54.1、2.55.1；修复方式是在长度被截短前直接拒绝超长路径
• GitHub 侧：github.com 与 GitHub Enterprise Cloud 已修复；GitHub Enterprise Server 修复于 3.19.15、3.20.11、3.21.9、3.22.4；GitHub Desktop、Copilot 应用、Codespaces、Actions 的修复在推进中，Git for Windows 尚未发布基于 2.56 的版本

建议尽快升级系统自带的 Git，并更新所有自带 Git 副本的应用。

原文链接 →

「编程与Agent」频道最新

• 改写不到10个休眠神经元即可给 LLM Agent 埋后门 — DimitrisPapail · 2026-11-11
• Claude Opus 5.5 自主设计架构搜索,发现新 Transformer 架构 AttnRes-Canon — SonglinYang4 · 2026-11-11
• 科研老手 5 条经验：倒读论文、复现优先、用 MCP 连接编码代理 — cneuralnetwork · 2026-11-11
• 「Adam 现在能做 CAE」引围观，AI 触角伸进工程仿真 — burhop · 2026-11-11
• 让 Agent 读数据库统计自动扫出缺失索引，已成一招通用玩法 — DanielLockyer · 2026-11-11
• 用 MCP 知识库让 Claude 评估 HTML 原型的落地可行性 — OK_darein · 2026-11-11

更多「编程与Agent」频道 AI 资讯 →