Rivelato un grave difetto di sicurezza in GitHub: remote code execution con un solo push

Recentemente, è emersa una vulnerabilità critica che colpisce GitHub.com e GitHub Enterprise Server, la quale può consentire a un utente autenticato di ottenere l’esecuzione di codice remoto con un singolo comando “git push”. Questo difetto, contrassegnato con il codice CVE-2026-3854 e con un punteggio CVSS di 8.7, è un caso di iniezione di comandi che può avere gravi conseguenze per coloro che gestiscono repository condivisi.

Dettagli sulla Vulnerabilità

Il problema è originato da un’insufficiente sanificazione dei valori forniti dagli utenti durante l’operazione di “git push”. In pratica, i valori inseriti non venivano adeguatamente elaborati prima di essere inclusi negli header dei servizi interni. Come indicato in un advisory di GitHub, l’uso di un carattere delimitatore che può apparire anche nell’input dell’utente ha creato un’opportunità per gli attaccanti di iniettare campi di metadati aggiuntivi attraverso valori di push costruiti ad hoc.

Grazie all’intervento della società di sicurezza informatica Wiz, il problema è stato individuato e segnalato il 4 marzo 2026. GitHub ha rapidamente validato e implementato una soluzione, riuscendo a correggere il difetto in meno di due ore. Non ci sono evidenze che questo difetto sia stato sfruttato in contesti malevoli fino ad ora.

Implicazioni e Rispetto alla Sicurezza

La vulnerabilità ha colpito diverse versioni di GitHub Enterprise Server e potrebbe avere conseguenze significative. Attualmente, si stima che circa l’88% delle istanze sia vulnerabile al problema. Wiz ha delineato un metodo che consente a un attaccante di concatenare diversi valori iniettati per sfruttare il sistema, bypassando le protezioni normalmente in atto e ottenendo il controllo totale del server.

Gli esperti di sicurezza avvertono che all’interno di GitHub.com, l’architettura multi-tenant consente a un potenziale attaccante di accedere a milioni di repository, indipendentemente dal livello di protezione delle singole organizzazioni. Questo è particolarmente allarmante per le aziende italiane che utilizzano GitHub per la gestione dei propri progetti e dati sensibili.

Conclusione e Raccomandazioni

In vista della gravità della vulnerabilità CVE-2026-3854, tutti gli utenti e le aziende sono fortemente incoraggiati ad aggiornare immediatamente le proprie istanze di GitHub. È fondamentale esaminare come i dati degli utenti vengono gestiti all’interno dei protocolli interni, specialmente in architetture multi-servizio dove la sicurezza è cruciale.

GitHub ha dimostrato una risposta rapida, ma la complessità delle architetture moderne richiede maggiore attenzione da parte degli sviluppatori e dei team di sicurezza. Tutti noi, in particolare nel contesto italiano, dobbiamo essere vigili e investire nella protezione dei nostri dati digitali, per evitare che errori di questo tipo possano portare a perdite irreparabili.