Поделиться
В GitHub нашли «дыру», открывающую доступ к миллионам частных репозиториев
В Github нашли критическую уязвимость, которая позволяла злоумышленникам с минимальными усилиями получить доступ к миллионам частных репозиториев.
Критическая уязвимость
Специалисты по кибербезопасности обнаружили в GitHub (крупнейшая в мире платформа для хостинга ИТ-проектов и их совместной разработки) критическую уязвимость, которая позволяла злоумышленникам с минимальными усилиями получить доступ к миллионам частных репозиториев. Достаточно было всего одной специально сформированной команды git push.
Уязвимость, получившая идентификатор CVE-2026-3854 и оценку 8,7 из 10 по шкале CVSS, была классифицирована как критическая, а ее суть заключалась в некорректной обработке внутренних метаданных во время стандартной операции отправки кода.
Разработчики могут добавлять к git push произвольные пары «ключ-значение», которые называются push options, и эти данные попадали во внутренний HTTP-заголовок X-Stat, где поля разделяются точкой с запятой.
Из-за отсутствия надлежащей проверки злоумышленник мог вставить в пользовательскую опцию символ ;, чтобы дописать в заголовок собственные поля.
Исследователи Wiz выяснили, что таким образом можно переопределить три критических параметра сервера: rails_env, custom_hooks_dir и repo_pre_receive_hooks. Подмена этих значений позволяла отключить защитную «песочницу» и указать серверу путь к стороннему файлу, добиваясь удаленного выполнения кода с правами системного пользователя git.
Колоссальный ущерб
Потенциальный ущерб от уязвимости оценивался как колоссальный. Она затрагивала не только публичный GitHub.com и GitHub Enterprise Cloud, но и изолированные серверы GitHub Enterprise Server. Для реализации атаки было достаточно иметь любой аккаунт на платформе и право на отправку кода в собственный репозиторий.
В случае GitHub.com эксперты Wiz подтвердили, что, эксплуатируя уязвимость на общих серверных узлах, можно было получить доступ к миллионам публичных и приватных репозиториев других пользователей и организаций. Для собственных серверов GitHub Enterprise Server атакующий и вовсе мог получить полный контроль над устройством и над всеми хранящимися на нем данными и секретами.
Получив отчет от Wiz четвертого марта 2026 г. через программу Bug Bounty, служба безопасности GitHub отреагировала практически мгновенно. Уязвимость воспроизвели за сорок минут, а инженеры нашли причину и развернули исправление на GitHub.com уже в 19:00 UTC того же дня — с момента подтверждения проблемы прошло менее двух часов.
Параллельно началось криминалистическое расследование, которое показало, что никакой реальной эксплуатации уязвимости не было. Сделать такой вывод позволил уникальный кодовый путь, который задействовал бы эксплойт и который не используется при обычных операциях на платформе. Для локальных версий GitHub Enterprise Server были выпущены обновления 3.14.25, 3.15.20, 3.16.16, 3.17.13, 3.18.8, 3.19.4, 3.20.0 и более новые.
ИИ помог
Исследователи из Wiz активно применяли инструменты на базе искусственного интеллекта, в частности Claude Code и IDA MCP, для автоматизированного обратного инжиниринга закрытого кода GitHub, что позволило сократить время анализа с месяцев до сорока восьми часов. Открытие называют знаковым, поскольку оно демонстрирует сдвиг в методологии поиска уязвимостей в сложных закрытых системах.
За столь ценную находку GitHub выплатил исследователям одно из самых крупных вознаграждений в истории своей баг-баунти программы — известно, что подобные выплаты могут составлять $30 тыс. и выше.
Несмотря на отсутствие следов эксплуатации, компания Wiz на момент публикации деталей уязвимости 28 апреля 2026 г. предупредила, что 88 процентов публично доступных экземпляров GitHub Enterprise Server все еще остаются уязвимыми, поэтому всем администраторам настоятельно рекомендуют немедленно обновить свои серверы до последних пропатченных версий.
Короткая ссылка
