GitHub закрыл критическую RCE-уязвимость в git push: атака выполнялась одной командой

30.04.2026

GitHub сообщил о закрытии критической уязвимости в пайплайне git push, которая позволяла выполнять произвольный код на серверной стороне. Проблему классифицировали как RCE и устранили в течение нескольких часов после подтверждения, при этом признаков эксплуатации обнаружено не было.

Уязвимость (CVE-2026-3854) была связана с некорректной обработкой пользовательских параметров при выполнении git push. Специально сформированный запрос позволял внедрять дополнительные служебные поля во внутренние метаданные системы, которые затем воспринимались как доверенные. В результате атакующий с правом push мог выполнить команды на backend-узлах GitHub.

На GitHub.com это открывало доступ к shared-инфраструктуре хранения, где размещаются репозитории разных пользователей, а в GitHub Enterprise Server приводило к полной компрометации сервера, включая доступ к коду и секретам.

Инцидент развивался по ускоренному сценарию: команда безопасности воспроизвела уязвимость примерно за 40 минут, после чего менее чем за два часа подготовила и развернула исправление. Полное закрытие проблемы и проверка инфраструктуры заняли около шести часов.

Для пользователей GitHub.com проблема уже устранена без необходимости дополнительных действий. Владельцам GitHub Enterprise Server рекомендовано срочно обновиться до исправленных версий, так как значительная часть инсталляций на момент публикации оставалась уязвимой.

Случай показателен сразу по двум причинам: во-первых, критическая уязвимость оказалась привязана к базовой операции git push, во-вторых, ее удалось обнаружить с использованием ИИ-инструментов, что отражает новый этап в поиске сложных багов в инфраструктурных системах.