Gitを使う開発PCや自動ビルド環境に、セキュリティ更新が公開されました。2026年11月10日の発表では、悪意あるリポジトリを関連部品ごと取得すると、不正なコードが実行されるおそれがある問題を含め、6件の脆弱性が修正されています。
Webサイトやアプリの運営者にとっての確認先は、公開中のサイトだけではありません。コードを取得・ビルド・公開する開発環境で、Gitの更新を誰が担当しているかを確かめることが重要です。
どんな作業で問題になるのか
Gitは、プログラムの変更履歴を管理するソフトウェアです。GitHubは、そのGitで管理するコードを共有したり、開発作業を進めたりするサービスです。開発者のPCや自動ビルド用のサーバーにも、それぞれGitが入っていることがあります。
今回のCVE-2026-111760は、コードの保管場所である「リポジトリ」を手元へ複製する処理に関係します。特に、別のリポジトリを組み込む「サブモジュール」もまとめて取得する再帰的なcloneが対象です。
Gitの公式アドバイザリは、攻撃者が用意したサーバー上のリポジトリを細工し、悪意ある設定や処理を読み込ませる可能性を説明しています。現時点の説明では、--recurse-submodulesを使う場合に発生するとされています。Git公式アドバイザリ
そのため、通常のWebサイトを閲覧しただけで起きる問題ではありません。外部のコードを取得する開発担当者や、取得からビルドまで自動実行する環境が、まず確認する対象になります。
今回確認した一次情報では、この脆弱性の実際の悪用は確認できていません。ただし、修正版は公開されているため、悪用の報告を待って対応する必要はありません。
修正版はGit 2.56.1と各保守系列に公開
Git 2.56.1のリリースノートには、次の6件への対応が明記されています。
- CVE-2026-111760
- CVE-2026-113408
- CVE-2026-114466
- CVE-2026-114467
- CVE-2026-114469
- CVE-2026-105437
修正は2.55.1、2.54.1、2.53.1、2.52.1、2.51.3、2.50.2にも取り込まれています。再帰的なcloneの問題だけでなく、参照情報の処理、マージ、バイナリ差分、データの取り込みに関する問題も含まれます。Git 2.56.1リリースノート・修正内容の詳細
導入方法によっては、OSやアプリの提供元が配布する更新を使います。OS側で修正を取り込んだパッケージでは、Git本体の数字だけで判断できない場合もあるため、担当者には使用している配布元が、今回のCVEに対応済みとしているかまで確認してもらいましょう。
GitHubの対応だけで、開発PCやCIも更新済みとは限らない
GitHubは、github.comとGitHub Enterprise Cloudなどには修正を適用済みと説明しています。一方、GitHub DesktopやGitHub Copilotアプリの同梱Gitについてはリリースを調整中、CodespacesやActionsにも修正版を提供するとしています。自社管理のGitHub Enterprise Server向けには、3.19.15、3.20.11、3.21.9、3.22.4の更新が案内されています。GitHubの発表
ここで分けたいのは、コードを保管するサービス側の対応と、そのコードを受け取って処理する側の対応です。開発PCのGitを更新しても、別のサーバーやコンテナで動くGitまで同時に変わるとは限りません。
開発会社や保守担当者には、次の範囲を確認すると話が具体的になります。
| 確認する場所 | 確かめたいこと |
|---|---|
| 開発者のPC | 普段の操作で使うGitが修正版になっているか |
| Gitを内蔵する開発アプリ | アプリ自体の更新で修正が提供されているか |
| CI・自動ビルド環境 | 実際のジョブ内で使われるGitに修正が反映されているか |
| 自社管理の開発サーバー | 誰が更新し、どの環境まで完了したか |
CIは、コードの取得、テスト、ビルドなどを自動実行する仕組みです。特に自社管理の実行サーバーや独自のコンテナイメージを使っている場合は、サービス提供元任せになっていないかを確認したいところです。
運営者が依頼するときは「更新しました」の範囲を聞く
依頼する際は、単に「Gitを更新してください」より、対象と完了条件をそろえる方が確認漏れを減らせます。
- 開発PC、内蔵アプリ、自動ビルド環境のうち、今回の修正が必要な場所を洗い出す。
- 各環境で利用する配布元の修正版を適用する。
- 更新後、実際の開発・ビルド処理で使われるGitの版と、テスト結果を確認する。
- すぐに更新できない環境は、理由と暫定対応、更新予定を共有する。
更新までの間、GitHubは信頼できないサーバーからのclone、信頼できないリポジトリの再帰的なclone、外部から受け取った不審な内容のマージなどを避けるよう案内しています。これは修正版の適用に代わる対策ではありません。
この発表だけで、既に公開しているサイトの改ざんや情報流出が起きたとは判断できません。まずは開発・保守を支える環境の更新を確認し、不審なリポジトリの取得や異常な処理があった場合は、その実行環境の権限や操作記録も含めて調査を依頼するのが適切です。
開発環境に本番のデータや接続権限を持たせている場合の考え方は、開発環境と本番環境を分ける際の確認事項も参考になります。
本記事は2026年11月11日時点の公式発表を基にしています。