Обычный git push мог положить весь GitHub 🐱

Казалось бы, что может быть безобиднее рутинной команды git push? Разве что залить баг на прод в пятницу вечером. Но безопасники из компании Wiz выяснили, что один такой пуш мог буквально поставить на колени всю инфраструктуру GitHub. Они раскопали критическую уязвимость (CVE-2026-3854), которая позволяла выполнить произвольный код прямо на серверах платформы. К чести инженеров Microsoft, они отреагировали с космической скоростью: баг воспроизвели за 40 минут, а еще через час с небольшим уже выкатили спасительный патч.

Секрет взлома оказался до смешного банальным - кто-то снова забыл нормально отфильтровать ввод. При отправке кода клиент может передать серверу дополнительные параметры. Если хакер хитро подставлял в этот запрос обычную точку с запятой (;), внутренние парсеры платформы сходили с ума. Система глотала этот разделитель и принимала кусок вредоносной нагрузки за доверенные служебные данные. В итоге атакующий выходил за пределы изолированной песочницы и получал ключи от сервера. Классическая инъекция, из-за которой мог утечь код половины корпораций мира.

К счастью, мамкины хакеры не успели воспользоваться этой красотой. Эксплойт оставляет в логах слишком жирный след, сервер от него переходит в нестандартный режим работы. Анализ показал, что кроме самих исследователей баг никто не дергал. Облачная версия уже в безопасности, а вот админам локальных GitHub Enterprise Server стоит срочно отложить кофе и бежать накатывать обновы.

🥸 Новости IT: 📱 Telegram | 📱 ВК | 📲 MAX