GitHub Enterprise Server: esecuzione di codice via git push (CVE-2026-3854)

Esecuzione di codice su GitHub Enterprise Server da chi ha accesso push, CVSS 8,8. Aggiornare alla release corretta del proprio ramo.

Il 10 marzo 2026 è stata pubblicata la scheda di CVE-2026-3854, una vulnerabilità che permette a un utente con accesso push a un repository di ottenere esecuzione di codice sull'istanza GitHub Enterprise Server. Il punteggio NVD è CVSS v3.1 8,8 (alta). La segnalazione è arrivata dal programma bug bounty di GitHub.

La causa è una neutralizzazione insufficiente dei valori delle opzioni di git push, che venivano inseriti in intestazioni interne con un delimitatore che poteva comparire anche nell'input. Il problema è di tipo injection (CWE-77) e riguarda solo chi ha già accesso push.

Aggiornare alla release corretta del proprio ramo. Se l'aggiornamento non è immediato, limitare l'accesso push ai repository e rivedere le utenze con privilegi di scrittura.

In sintesi

Cosa: Esecuzione di codice sull'istanza GitHub Enterprise Server da parte di un utente con accesso push a un repository.
Gravità: CVSS v3.1 8,8 (alta), secondo NVD. CVSS v4.0 8,7 secondo GitHub.
Causa: I valori delle opzioni di git push non erano neutralizzati prima di essere inseriti in intestazioni interne (CWE-77).
Correzione: GHES 3.14.25, 3.15.20, 3.16.16, 3.17.13, 3.18.7 e 3.19.4.
Azione: Aggiornare l'istanza alla release corretta del proprio ramo e rivedere chi ha accesso push ai repository.

Fonti: NVD, CVE-2026-3854 · Wiz, analisi della vulnerabilità · GitHub, note di rilascio GHES 3.19.4

← Tutti gli articoli