Git 项目发布安全更新，一口气修复 6 个编号 CVE 安全漏洞，最高风险是恶意仓库在递归克隆子模块场景下实现远程代码执行，还有路径穿越、栈溢出、内存越界、二进制补丁处理、合并大文件时堆损坏等问题，漏洞覆盖 Git 协议 v2 克隆、GPG 签名解析、fast-import 导入、标签合并等常用功能。官方推出 Git 2.56.1 作为主修复版本，同时向后把补丁移植到 2.55.1、2.54.1、2.53.1、2.52.1、2.51.3、2.50.2 这些老维护分支，不光本地电脑上的 Git 要升级，IDE、CI 流水线、代码托管平台、内嵌 Git 的第三方工具都需要同步更新；暂时没法升级的环境，要禁止从不可信仓库执行递归克隆，不处理来源不明的标签、二进制补丁，降低被利用的概率。
一、本次 6 个漏洞核心清单
- CVE-2026-111760：递归克隆恶意仓库可远程代码执行，风险最高
- CVE-2026-113408：Git 协议 v2 克隆空仓库，HEAD 引用校验缺失导致路径穿越、写入非预期文件
- CVE-2026-114467：解析带有多个 GPG 签名的标签，造成栈缓冲区损坏
- CVE-2026-114469：特制压缩二进制补丁越界读取，程序崩溃
- CVE-2026-105437：超大文件合并时内存计算溢出，堆内存损坏
- CVE-2026-114466：fast-import 导入命令缺少校验，可触发危险操作
二、升级版本对照表
| 原始版本分支 | 修复后的安全版本 |
|---|---|
| 2.56.x | 2.56.1 |
| 2.55.x | 2.55.1 |
| 2.54.x | 2.54.1 |
| 2.53.x | 2.53.1 |
| 2.52.x | 2.52.1 |
| 2.51.x | 2.51.3 |
| 2.50.x | 2.50.2 |
三、漏洞攻击触发场景说明
- 递归克隆（git clone --recursive）：攻击者制作带恶意子模块的仓库，用户拉取后就能执行恶意代码
- 克隆空仓库：恶意 Git 服务器返回异常 HEAD 符号引用，绕过校验写入系统其他目录
- 合并带特殊 GPG 签名的标签：超过 2 个签名就触发栈写越界
- 导入二进制补丁：构造超大压缩补丁，突破大小限制造成越界读取
- 大规模代码合并：特制变更包，让合并逻辑计算内存出错，破坏堆内存
- fast-import 导入：导入不受信任的导入脚本，触发危险底层操作
四、临时防护步骤（未升级前）
- 执行git --version查看当前版本，确认是否在受影响版本范围
- 暂停从陌生、不可信仓库使用--recursive递归克隆
- 不随便合并来源不明的标签、接收外部二进制补丁、fast-import 数据包
- CI 服务器、自动化构建节点优先隔离，限制外网仓库拉取权限
- Windows、macOS、Linux 都要升级，漏洞跨平台，不是单系统专属
【常见问题】
问题 1：Git 修复六个安全漏洞建议升级，最危险的漏洞是什么？
回答 1：Git 修复六个安全漏洞建议升级，风险最高的是 CVE-2026-111760，恶意仓库在递归克隆子模块的时候可以实现远程代码执行。
问题 2：Git 修复六个安全漏洞建议升级，是不是只需要升级本地命令行 Git？
回答 2：Git 修复六个安全漏洞建议升级，除了本地 Git，IDE、CI、代码托管平台、内置 Git 的第三方软件都内嵌 Git，这些组件同样需要同步升级。
问题 3：Git 修复六个安全漏洞建议升级，没有办法立刻升级有什么应急办法？
回答 3：Git 修复六个安全漏洞建议升级，暂时不能升级的话，不要递归克隆陌生仓库，不合并来源不明的标签、二进制补丁，限制 fast-import 导入不受信任数据。
问题 4：Git 修复六个安全漏洞建议升级，这些漏洞只影响 Linux 吗？
回答 4：Git 修复六个安全漏洞建议升级，这批漏洞属于跨平台漏洞，Windows、macOS、Linux 上的 Git 客户端都会受影响，全平台都需要更新。
【参考资料】
[2026-11-11]（Git 修复六个安全漏洞建议升级）腾讯新闻
[2026-11-10]（Git security vulnerabilities announced）GitHub Blog
[2026-11-10]（Git 2.56.1 Fixes Six Vulnerabilities, Including Code Execution in Recursive Clones）Dev & Gadget Note
[2026-11-10]（Git Security Vulnerabilities CVE-2026-111760 & 5 Patched）Securityonline
[2026-11-10]（Git corrige six vulnérabilités de sécurité）TechFi24
【免责声明】
本文内容基于 Git 官方安全公告、GitHub 安全博客和网络安全媒体报道整理；漏洞利用条件、补丁适配情况、发行版打包推送时间各有差异，生产环境的安全加固、版本升级方案以 Git 官方公告和操作系统厂商安全通知为准，本文仅做安全资讯科普，不构成企业安全处置唯一方案。