Git 项目发布新版本，修复六个安全漏洞。修复包含在 Git 2.56.1 中，并向后移植到 2.55.1、2.54.1、2.53.1、2.52.1、2.51.3 和 2.50.2。
漏洞包括递归克隆恶意仓库时的任意代码执行、写入非预期文件，以及处理合并或二进制补丁时的内存损坏。
CVE-2026-111760 涉及递归克隆时代码执行：Git 索引处理中的整数截断可使超长路径通过验证后以较短名称写入，攻击者可借此替换子模块的 .git 文件为符号链接，指向包含恶意配置或钩子的目录，进而在递归克隆时执行攻击者控制的代码。
CVE-2026-113408 是路径遍历漏洞：使用 Git 协议 v2 克隆空仓库时，服务器可通告指向未出生分支的 HEAD 符号引用，Git 未验证目标就存储，恶意服务器可提供包含路径遍历组件的名称，后续更新分支时可能写入引用目录之外。
CVE-2026-114467 是移除签名时的栈损坏：Git 假设消息最多有两个 GPG 签名，特制消息包含超过两个签名时可导致栈数组越界写入，合并含多个签名的标签可触发内存损坏和潜在拒绝服务。
CVE-2026-114469 是应用二进制补丁时的越界读取：Git 拒绝约 1 GiB 以上的补丁，但检查仅基于补丁原始大小，二进制补丁压缩编码后可能扩展超过限制。
GitHub 博客建议更新到 Git 2.56.1 或维护系列的补丁版本，并更新捆绑 Git 的应用程序。