Git 官方已经推送新版本修复编号 CVE-2026-111760 的高危漏洞，这个漏洞风险很高，只要开发者使用--recurse-submodules递归克隆攻击者提前构造好的恶意仓库，不需要额外交互，就能直接触发任意代码执行，攻击者可以拿到当前操作账号的权限，本地代码、服务器环境都有被接管风险。漏洞根源是 Git 索引处理时存在整数截断问题，超长路径可以绕过路径校验，用符号链接替换子模块的.git 文件，指向存放恶意钩子、配置的目录，克隆流程里 Git 读取这个目录就自动运行恶意代码。除了这个 RCE 漏洞，本次版本还一并修复了另外 5 个安全缺陷，包含路径越界写入、合并操作内存损坏等问题。开发者最稳妥的处理方式就是升级到官方修复版本，同时养成习惯，不要随便递归克隆来源不明、没有经过审计的仓库，在升级完成前，临时避免对陌生仓库使用递归克隆参数。
漏洞基础信息表
| 项目 | 详情 |
|---|---|
| 漏洞编号 | CVE-2026-111760 |
| 漏洞类型 | 远程代码执行（RCE） |
| 触发条件 | 执行 git clone --recurse-submodules 克隆恶意仓库 |
| 根本原因 | 索引超长路径整数截断，校验绕过，符号链接劫持.git 目录 |
| 受影响版本 | 2.50、2.51、2.52、2.53、2.54、2.55、2.56 未修复版本 |
| 修复版本 | 2.56.1、2.55.1、2.54.1、2.53.1、2.52.1、2.51.3、2.50.2 |
漏洞攻击流程拆解
- 攻击者提前制作恶意仓库，内置特殊超长路径文件、子模块和符号链接
- 诱导用户执行带递归参数的克隆命令：git clone --recurse-submodules xxx.git
- 超长路径先通过 Git 安全校验，写入时发生长度截断，校验逻辑失效
- 符号链接替换子模块的.git 文件，指向恶意钩子目录
- Git 加载子模块配置，自动执行钩子脚本，完成代码执行攻击
应急处置操作步骤
- 优先升级 Git 客户端：Windows、Mac、Linux、服务器环境全部更新到对应修复版本
- 临时规避手段：对于不信任仓库，去掉--recurse-submodules参数，先克隆主仓库，人工审查子模块地址和内容，确认安全后再手动更新子模块
- 全局关闭符号链接支持（临时方案）：git config --global core.symlinks false
- CI / 流水线防护：自动化脚本里禁止递归克隆外部匿名仓库，增加仓库来源白名单
- 服务器侧检查：排查近期有没有从陌生仓库递归克隆，检查 git hook 目录是否存在未知脚本
配套其他本次修复漏洞简要清单
- CVE-2026-113408：空仓库协议 v2 克隆时路径遍历，可写入目标目录以外文件
- 内存损坏漏洞：合并、二进制补丁处理过程触发内存破坏，可能造成程序崩溃
- 其他边界路径校验缺陷，防止文件写入到仓库目录以外位置
【常见问题】
问题 1：Git 修复的这个高危代码执行漏洞，递归克隆恶意仓库触发攻击，是不是普通 clone 命令也会中招？
回答 1：Git 修复的这个高危代码执行漏洞，递归克隆恶意仓库触发攻击，普通不带--recurse-submodules的克隆命令不会触发，攻击必须依赖递归拉取子模块的流程。
问题 2：Git 修复的这个高危代码执行漏洞，递归克隆恶意仓库触发攻击，升级哪些 Git 版本可以解决？
回答 2：Git 修复的这个高危代码执行漏洞，递归克隆恶意仓库触发攻击，升级到 2.56.1、2.55.1、2.54.1、2.53.1、2.52.1、2.51.3、2.50.2 及以上版本即可修复。
问题 3：Git 修复的这个高危代码执行漏洞，递归克隆恶意仓库触发攻击，在暂时没法升级 Git 的时候怎么防护？
回答 3：Git 修复的这个高危代码执行漏洞，递归克隆恶意仓库触发攻击，暂时无法升级时，不要对陌生仓库使用递归克隆参数，关闭 Git 符号链接支持，子模块单独人工审核后再拉取。
问题 4：Git 修复的这个高危代码执行漏洞，递归克隆恶意仓库触发攻击，漏洞原理是什么？
回答 4：Git 修复的这个高危代码执行漏洞，递归克隆恶意仓库触发攻击，原理是索引里超长路径发生整数截断绕过安全校验，攻击者利用符号链接劫持子模块.git 目录，加载恶意钩子脚本实现代码执行。
【参考资料】
[2026-11-11]（Git 2.56.1 Fixes Six Vulnerabilities, Including Code Execution in Recursive Clones）Dev & Gadget Note
[2026-11-10]（Git security vulnerabilities announced）GitHub Blog
[2026-11-10]（Git Patches Flaw That Lets Malicious Repositories Execute Code During Recursive Clones）The Hacker News
[2026-11-10]（Critical Git Flaw Lets Malicious Repos Run Code During Recursive Clones）The Daily Tech Feed
【免责声明】
本文内容基于 Git 官方安全公告、安全媒体公开资讯整理，漏洞利用条件、环境影响随系统配置存在差异，本文仅作为安全资讯科普，不提供漏洞利用教程，业务环境加固方案请结合自身运维规范测试后落地。