Mise à jour de sécurité Git : les runners CI doivent aussi être corrigés

Le 10 novembre, le projet Git a publié des correctifs pour six vulnérabilités. L’une peut permettre une exécution de code lors du clonage récursif d’un dépôt malveillant. Le composant concerné est Git lui-même : inventoriez les postes de développement, runners CI et applications embarquant leur propre copie.

Ce que corrige cette version

L’annonce de GitHub décrit CVE-2026-111760 dans les clones récursifs et CVE-2026-113408 dans le HEAD annoncé par un serveur. Les autres problèmes concernent les fusions de tags signés, les correctifs binaires, les grandes fusions et les flux fast-import. Leurs conséquences diffèrent : tous ne permettent pas une exécution de code à distance.

Installez Git 2.56.1 ou la version corrigée de votre branche de maintenance : 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 ou 2.50.2. Vérifiez les avis et rétroportages de votre fournisseur et mettez à jour les applications qui embarquent Git.

Réponse pratique

1. Inventoriez les versions de Git sur les postes, images de build, runners CI et services traitant des dépôts.
2. Appliquez les correctifs du fournisseur de confiance, reconstruisez les images et vérifiez la version réellement exécutée.
3. En attendant, évitez les clones récursifs de dépôts non fiables ainsi que les fusions, correctifs binaires et flux fast-import non fiables. Ces précautions ne remplacent pas la mise à jour.
4. Désignez des responsables et suivez la correction ; l’analyse d’un dépôt ne prouve pas la version de Git d’un runner.

Le rôle de Plexicus

La remédiation Plexicus facilite le suivi des problèmes de sécurité applicative validés. Cette mise à jour nécessite aussi un processus de correctif d’infrastructure : une analyse applicative ne met pas Git à jour automatiquement.

Image : logo Git de Jason Long, CC BY 3.0 ; original non modifié sur fond éditorial.