Actualización de seguridad de Git: también hay que parchear los ejecutores de CI

El 10 de noviembre, el proyecto Git publicó correcciones para seis vulnerabilidades. Una puede permitir la ejecución de código al clonar recursivamente un repositorio malicioso. El componente afectado es Git: el inventario debe incluir equipos de desarrollo, ejecutores de CI y aplicaciones que incorporan su propia copia.

Qué corrige la versión

El anuncio de GitHub identifica CVE-2026-111760 en clones recursivos y CVE-2026-113408 en el HEAD anunciado por un servidor. Los demás problemas afectan fusiones de etiquetas firmadas, parches binarios, fusiones grandes y flujos fast-import. Sus consecuencias son diferentes: no todos permiten ejecutar código remotamente.

Instala Git 2.56.1 o la versión corregida de tu rama: 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 o 2.50.2. Consulta el aviso de tu distribuidor y sus posibles retrocorrecciones; actualiza también las aplicaciones que incluyen Git.

Respuesta práctica

1. Inventaría las versiones de Git en equipos, imágenes de compilación, ejecutores de CI y servicios que procesan repositorios.
2. Aplica los parches del distribuidor de confianza, reconstruye las imágenes y comprueba la versión que realmente se ejecuta.
3. Hasta actualizar, evita clones recursivos de repositorios no confiables y fusiones, parches binarios y flujos fast-import no confiables. Estas precauciones no sustituyen la actualización.
4. Asigna responsables y sigue la corrección; escanear un repositorio no demuestra qué versión de Git usa un ejecutor.

Dónde encaja Plexicus

La remediación de Plexicus ayuda a dar seguimiento a hallazgos validados de seguridad de aplicaciones. Esta actualización requiere además un proceso de parcheo de infraestructura: no supongas que un análisis de aplicaciones actualiza Git.

Miniatura: logotipo de Git de Jason Long, CC BY 3.0; logotipo original sin modificar sobre un fondo editorial.