--- title: "Git, özyinelemeli klonlarda zararlı depolara kod çalıştırma açığı için yama yayınladı" url: "https://teknotayf.com/haber/git-ozyinelemeli-klonlarda-zararli-depolara-kod-calistirma-acigi-icin-yama-yayinladi" markdown_url: "https://teknotayf.com/haber/git-ozyinelemeli-klonlarda-zararli-depolara-kod-calistirma-acigi-icin-yama-yayinladi.md" site: "teknotayf.com" language: "tr" published: "2026-11-10 22:23:10" updated: "2026-11-11 00:58:28" category: "Siber Güvenlik" tags: ["Yazılım Güvenliği","Git Güvenlik Açığı","CVE-2026-111760","Saldırı Önleme","Versiyon Kontrol"] source: "The Hacker News" --- # Git, özyinelemeli klonlarda zararlı depolara kod çalıştırma açığı için yama yayınladı > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/git-ozyinelemeli-klonlarda-zararli-depolara-kod-calistirma-acigi-icin-yama-yayinladi > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Git projesinde özyinelemeli klonlama sırasında zararlı bir depodan kod çalıştırılmasına yol açan bir güvenlik açığı bulundu. Sorun CVE-2026-111760 olarak izleniyor ve Git 2.56.1 ile birlikte bir dizi eski sürüm için de düzeltmeler yayınlandı. GitHub, düzeltmeleri kendi hizmetlerine uyguladı ve kullanıcılara geçici önlemler önerdi. - **Yayın tarihi:** 2026-11-10 22:23 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Yazılım Güvenliği, Git Güvenlik Açığı, CVE-2026-111760, Saldırı Önleme, Versiyon Kontrol - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/11/git-patches-flaw-that-lets-malicious.html) ![Git, özyinelemeli klonlarda zararlı depolara kod çalıştırma açığı için yama yayınladı](https://teknotayf.com/assets/uploads/2026/11/e4252a44141156e8febe8ba10fda1f2c.jpg) Swati Khandelwal 10 Kasım 2026 Güvenlik / Yazılım Güvenliği Git'te bulunan bir açık, bir bilgisayarın özyinelemeli olarak, alt modülleriyle birlikte klonladığı zararlı bir depodan saldırganın kodunu çalıştırabilmesine izin verebiliyor. Git projesi bu sorunu bu hafta **Git 2.56.1**'de düzeltti; 2.50'den 2.55'e kadar olan seriler için de 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1 ve 2.55.1 sürümlerinde eşleşen düzeltmeler yapıldı. **CVE-2026-111760** olarak izlenen açık, Git'in dizinini nasıl işlediği sırasında oluşan bir tamsayı kırpılması. Bir depodaki son derece uzun bir yol Git'in güvenlik kontrolünden geçebiliyor, ancak Git bunu daha kısa bir ad altında diske yazıyor ve saldırgan bu adı .git olarak ayarlayabiliyor. Bu durum saldırganın bir alt modülün .git dosyasını, zararlı kancalar veya yapılandırma içeren bir klasöre işaret eden sembolik bir bağlantıyla değiştirmesine olanak tanıyor. Kancalar Git'in belirli noktalarda çalıştırdığı programlardır, dolayısıyla Git o klasörü kullandığında saldırganın kodu çalışabilir. Alt modüller burada önemli çünkü Git bir .git klasörünü sembolik bağlantıyla değiştirmeyi reddediyor, ancak yeni klonlanmış bir alt modülde .git bir dosyadır. Git projesinin sürüm duyurusunda listelenen düzeltilmiş sürümler, uzunlukları kısaltılmadan önce bu tür son derece uzun yolları reddediyor. Git'i kendi araçlarında dağıtan GitHub, düzeltmeleri ayrıntılı bir yazıda açıkladı. İşletim sisteminden veya Git dağıtımcısından düzeltilmiş bir sürüm yüklemenizi ve kendi Git kopyasını içeren uygulamaları güncellemenizi öneriyor. Şirket düzeltmeleri zaten github.com ve GitHub Enterprise Cloud'a uyguladı. GitHub Enterprise Server için sürümler 3.19.15, 3.20.11, 3.21.9 ve 3.22.4'te bulunuyor. GitHub Desktop ve GitHub Copilot uygulamasının düzeltilmiş sürümleri hazırlanıyor. GitHub Codespaces ve GitHub Actions da düzeltilmiş Git'i alacak. Salı günü saat 19:09 UTC itibarıyla Git for Windows, Git 2.56.1 tabanlı bir sürüm yayınlamamıştı; bu durum The Hacker News tarafından sürüm etiketlerinin kontrolüyle tespit edildi. Düzeltilmiş bir sürüm kurulana kadar GitHub, düzeltmelerin yerini tutmayan şu adımları öneriyor: Yalnızca güvendiğiniz sunuculardan klonlayın. Güvenmediğiniz depoları özyinelemeli olarak klonlamayın. Güvenmediğiniz içerik veya etiketleri birleştirmeyin. Güvenmediğiniz kaynaklardan ikili yamaları veya fast-import akışlarını işlemeyin. Git sürümleri ayrıca beş başka açığı da düzeltiyor: CVE-2026-113408: Birisi Git protokolü v2 üzerinden boş bir deposu klonladığında, kötü niyetli bir sunucu yol geçişi içeren bir dal adı gönderebilir. Dosyalar referans arka ucuyla, bu dala yapılan sonraki bir güncelleme Git'in referans klasörünün dışına yazabilir. CVE-2026-114467: İkiden fazla GPG imzası taşıyan bir etiketin birleştirilmesi Git'in yığın belleğini bozar ve hizmet reddine neden olabilir. Kullanıcılar için bu tür birleştirmeleri çalıştıran barındırma hizmetleri de etkilenebilir. CVE-2026-114469: Çok büyük bir boyuta genişleyen bir ikili yama, Git'in yaklaşık 1 GiB'lik yama boyutu sınırını aşabilir ve sınır dışı okuma ile Git'i çökertebilir. CVE-2026-105437: Birçok çatışma ve büyük bir conflict-marker-size özelliği olan çok büyük bir birleştirme, Git'in çok küçük bir tamponun sonunun ötesine yazmasına neden olabilir ve yığın belleğini bozabilir. CVE-2026-114466: Üç git fast-import özelliği olan rewrite-submodules-from, rewrite-submodules-to ve export-pack-edges, keyfi dosyaları okumak veya dosyalar oluşturup onlara veri eklemek için kullanılabilir. Git artık bunları --allow-unsafe-features ayarlanmadıkça bir giriş akışında reddediyor. CVE-2026-105437'i atayan GitLab, kod barındırma sunucularının en olası şekilde git merge-tree üzerinden hedefleneceğini söyledi. Bir sunucu, bir çekme veya birleştirme isteğinin birleştirilip birleştirilemeyeceğini kontrol etmek için bu komutu çalıştırabilir. conflict-marker-size özelliği, depoya kaydedilen bir .gitattributes dosyasında ayarlanabilir. Bir sunucu depodan özellikleri okuyorsa, dalları itebilen ve bir çekme veya birleştirme isteği açabilen herhangi bir kullanıcı açığı tetikleyebilir. Bu açık için geçici çözüm olarak henüz yükseltme yapamayan sunucular, her deponun info/attributes dosyasına conflict-marker-size=7 ekleyebilir veya güvenilmeyen depolar için bu birleştirme kontrollerini kapatabilir. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/git-ozyinelemeli-klonlarda-zararli-depolara-kod-calistirma-acigi-icin-yama-yayinladi Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.