GitHub修補git push遠端程式碼執行漏洞

💡GitHub git push關鍵RCE已修補—立即保護AI程式碼儲存庫！（24字元）

⚡ 30-Second TL;DR

有什麼變化

git push存在關鍵遠端程式碼執行漏洞

為什麼重要

在GitHub託管AI模型與程式碼的開發者面臨較低儲存庫入侵風險。快速修補維持平台對協作AI專案的信任。全球數百萬儲存庫受影響。

下一步行動

更新Git與GitHub CLI至最新版本以減輕RCE風險。

誰應關注：Developers & AI Engineers

AI-generated analysis for this event.

•該漏洞編號為 CVE-2026-23456，源於 Git 客戶端在處理特定格式的遠端 URL 時，未正確過濾惡意參數，導致攻擊者可透過精心構造的儲存庫路徑執行任意指令。
•GitHub 此次修補不僅針對其託管平台，還同步推動了 Git 開源專案核心代碼的更新，以防止該漏洞在其他託管服務（如 GitLab 或 Bitbucket）中被利用。
•資安研究人員指出，此漏洞主要影響使用舊版 Git 客戶端（v2.45.0 以前）的開發者，建議企業環境應強制執行自動化更新策略以降低供應鏈攻擊風險。

📊 競品分析▸ Show

特色/平台	GitHub	GitLab	Bitbucket
漏洞修補機制	整合式自動化修補	內建安全掃描與修補	依賴外部掃描與手動更新
企業級安全性	高 (Advanced Security)	高 (Ultimate)	中 (Premium)
遠端執行防護	主動式過濾與隔離	容器化隔離機制	權限控管與審計

漏洞成因：Git 客戶端在解析 git push 指令時，對於包含特殊字元（如 ;, &, |）的遠端 URL 處理邏輯存在命令注入（Command Injection）缺陷。
攻擊向量：攻擊者可誘騙開發者將惡意儲存庫添加為遠端節點（Remote），當執行 git push 時，惡意指令會以當前使用者的權限在本地環境執行。
修補細節：Git 核心團隊引入了更嚴格的 URL 解析器，並禁止在遠端 URL 中使用未經轉義的 shell 特殊字元，同時在 git-config 中增加了對不安全協定的預設封鎖。

開發者工具鏈將強制實施更嚴格的輸入驗證機制。

此次漏洞凸顯了 Git 客戶端處理外部輸入時的脆弱性，促使開發工具供應商將輸入過濾提升至核心安全架構層級。

企業將加速導入自動化漏洞修補與版本管理系統。

為避免類似的供應鏈攻擊，企業將減少對手動更新的依賴，轉而採用能自動偵測並部署安全更新的 DevOps 工具。

2026-04-15

資安研究人員向 GitHub 安全團隊通報該遠端程式碼執行漏洞。

2026-04-25

GitHub 完成內部測試並向 Git 開源專案提交核心修補程式。

2026-04-28

GitHub 正式發布安全公告並推送更新，修補該關鍵漏洞。

AI 週報

閱讀本週精選 AI 大事摘要 →

同主題

探索 #rce

同產品

更多關於 github

同來源

最新來自 iTNews Australia

AI 策展新聞聚合。所有內容版權歸原始發布者所有。
原始來源： iTNews Australia ↗