Researchers Discover Critical GitHub CVE-2026-3854 RCE Flaw Exploitable via Single Git Push
Cybersecurity-Forscher haben eine kritische Sicherheitslücke mit der ID CVE-2026-3854 auf GitHub.com und GitHub Enterprise Server identifiziert, die einen authentifizierten Benutzer ermöglicht, durch ein einzelnes "git push" Befehl Remote Code Execution (RCE) auszuführen. Die Schwachstelle hat eine CVSS-Bewertung von 8,7 und kann für Angreifer mit Push-Zugriff auf einen Repository genutzt werden. Benutzer sollten dringend Updates durchführen und ihre Berechtigungen überprüfen, um mögliche Exploits zu verhindern.
Forscher haben laut Artikel CVE-2026-3854 auf GitHub.com und GitHub Enterprise Server identifiziert. Die Schwachstelle ermöglicht einem authentifizierten Benutzer mit Push-Zugriff auf ein Repository Remote Code Execution durch einen einzelnen git-push-Befehl und hat einen CVSS-Wert von 8,7. Nutzer sollen dringend Updates durchführen und Berechtigungen überprüfen.
GitHub.com und GitHub Enterprise Server; Benutzer mit betroffenen Repositories und Push-Zugriffsszenarien
RCE über einen einzelnen git push durch authentifizierte Nutzer mit Repository-Push-Zugriff kann CI/CD- und Quellcodeplattformen erheblich gefährden.
Ein authentifizierter Nutzer mit Push-Zugriff führt Remote Code Execution über ein Repository aus.
Updates dringend einspielen und Repository-Push-Berechtigungen überprüfen.
- ▸GitHub-Enterprise-Server-Instanzen auf betroffene Versionen und verfügbare Updates prüfen.
- ▸Repository-Push-Berechtigungen überprüfen und auf notwendige Nutzer beschränken.
- ▸Audit-Logs auf ungewöhnliche git-push-Ereignisse durch authentifizierte Nutzer prüfen.
| Taktik | Technik | Konfidenz | Beleg |
|---|---|---|---|
| Initial Access | T1190 Exploit Public-Facing Application | Medium | Der Artikel beschreibt eine RCE-Schwachstelle in GitHub.com und GitHub Enterprise Server. |
| Execution | T1059 Command and Scripting Interpreter | Low | Der Artikel nennt Remote Code Execution, aber keine konkrete Befehls- oder Skriptumgebung. |
- betroffene GitHub-Enterprise-Server-Versionen nicht im Artikel angegeben
- konkrete Patchversion nicht im Artikel angegeben
- IOCs nicht im Artikel angegeben
- technische Ursache nicht im Artikel angegeben
- betroffene Länder oder Branchen nicht im Artikel angegeben