GitHub corrigiu uma falha crítica de git push que afetava repositórios privados

O GitHub divulgou detalhes da CVE-2026-3854, uma vulnerabilidade crítica de remote code execution em seu Pipeline de git push que podia expor milhões de repositórios privados. Segundo a empresa, a Wiz reportou o bug em 4 de março e o fix foi implantado no GitHub.com em menos de duas horas. Os Patchs para clientes enterprise self-hosted já estão disponíveis.

A importância desta notícia está no ponto exato onde a falha apareceu. O caminho vulnerável ficava em uma das partes mais sensíveis da infraestrutura do GitHub, justamente a que processa os push dos desenvolvedores. Não é apenas mais um problema de web application. É uma rota potencial para source code, segredos internos e cadeias de suprimento de software das quais grandes empresas dependem diariamente.

O GitHub explicou que um atacante com acesso de push a qualquer repositório, inclusive um criado por ele mesmo, podia abusar de push options sem sanitização adequada, injetar metadata interna confiável e acabar executando comandos arbitrários no servidor que processava o push. No relato oficial, a empresa disse que o exploit exigia apenas um único comando git push crafted. A Wiz, cujos pesquisadores encontraram a falha por meio do programa de bug bounty, afirmou que o impacto potencial no GitHub.com podia alcançar milhões de repositórios públicos e privados em nós compartilhados afetados.

A companhia diz que sua equipe reproduziu o problema em 40 minutos, implantou o fix no GitHub.com no mesmo dia e depois conduziu uma revisão forensic. Segundo o GitHub, essa análise não encontrou evidências de exploitation antes da divulgação responsável. A empresa também removeu um code path desnecessário dos ambientes afetados como parte de um hardening adicional.

O risco operacional restante está agora principalmente no GitHub Enterprise Server. O GitHub publicou correções para as versões suportadas e afirmou que administradores devem fazer upgrade imediatamente e revisar audit logs em busca de atividade suspeita de push. Esse é o takeaway prático. Mesmo com o GitHub.com corrigido rapidamente, clientes enterprise devem tratar isso como remediation de alta prioridade, porque sistemas de hospedagem de code ficam próximos do restante do stack de software. Como destacou a cobertura mais ampla da BleepingComputer e detalharam GitHub e Wiz, este é exatamente o tipo de falha de infraestrutura que pode transformar muito rápido um workflow de desenvolvimento em um incidente de supply chain.