El proyecto Git publicó el 10 de noviembre de 2026 actualizaciones que corrigen seis vulnerabilidades, entre ellas una vía de ejecución de código al clonar recursivamente un repositorio malicioso. Los parches están en Git 2.56.1 y en las versiones 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 y 2.50.2 de ramas mantenidas.
La consecuencia para los equipos que trabajan con agentes de programación es concreta: hay que localizar qué instalación de Git utiliza cada entorno. Actualizar el ordenador no modifica automáticamente la copia incluida en un contenedor o una aplicación.
El riesgo del clon recursivo tiene condiciones concretas
El fallo CVE-2026-111760 afecta a clones recursivos de repositorios preparados por un atacante. Según el aviso, una ruta extremadamente larga puede aprovechar un truncamiento de longitud en el índice para sustituir el archivo .git de un submódulo por un enlace simbólico. Ese enlace dirige a una ubicación con configuración o hooks maliciosos, que Git puede ejecutar posteriormente durante el clon.
No significa que cualquier clon ejecute código arbitrario. El problema descrito depende de un repositorio manipulado y del tratamiento de sus submódulos. La corrección rechaza las rutas demasiado largas antes de que se trunque su longitud.
Los otros cinco fallos abarcan referencias anunciadas por un servidor, eliminación de firmas, aplicación de parches binarios, fusiones grandes e importaciones con fast-import. Incluyen escrituras fuera del destino previsto, corrupción de memoria y caídas del proceso. Las notas oficiales de las ramas corregidas detallan los identificadores y mecanismos; no hemos ejecutado pruebas de explotación.
El inventario debe seguir al proceso que realmente trabaja
Ejemplo hipotético, no ejecutado por Puntoes: un agente descarga proyectos dentro de una imagen de contenedor que se construyó semanas atrás. El equipo anfitrión recibe una actualización de Git, pero la imagen conserva su paquete anterior. La comprobación útil consiste en identificar el Git del contenedor, incorporar el paquete corregido y reconstruir o sustituir la imagen antes de reutilizarla.
El mismo criterio sirve para aplicaciones de escritorio que incluyen Git y servicios de integración continua que procesan repositorios. Hay que contrastar el paquete con los avisos de su distribuidor: este puede incorporar una corrección mediante un parche retroportado. Comparar únicamente el número visible con el último lanzamiento del proyecto no siempre resuelve esa comprobación.
Qué está corregido en GitHub y qué queda por comprobar
El anuncio de GitHub indica que ya desplegó correcciones en github.com y en sus modalidades Enterprise Cloud. Para Enterprise Server cita las versiones 3.19.15, 3.20.11, 3.21.9 y 3.22.4.
El mismo texto habla de coordinación de versiones corregidas de GitHub Desktop y de la aplicación Copilot, y de actualizaciones que recibirán Codespaces y Actions. Esas frases no acreditan que cada aplicación instalada o cada entorno del lector ya incluya el parche.
Si la actualización no es inmediata, el aviso aconseja clonar solo desde servidores de confianza, evitar clones recursivos de repositorios no fiables y no procesar contenido, parches o flujos de importación no confiables. Son precauciones temporales: no sustituyen instalar las correcciones. Tampoco un entorno aislado demuestra que el Git que contiene esté actualizado.
La novedad se mencionó en nuestro resumen del 10 de noviembre. Este desarrollo concreta cómo revisar los entornos de agentes y automatización, sin atribuirles una prueba de seguridad propia. Fuentes consultadas el 11 de noviembre.