GitHub a corrigé une vulnérabilité critique qui permettait un accès non autorisé à des millions de dépôts. Les clients de GitHub Enterprise Server sont priés de passer immédiatement à la dernière version.
La vulnérabilité CVE-2026-3854 a été découverte par la société de sécurité cloud Wiz. L’entreprise l’a identifiée à l’aide de l’outil d’IA IDA MCP. Cette faille rendait des millions de dépôts accessibles à des personnes non autorisées. GitHub a résolu le problème dans les six heures suivant le rapport de Wiz.
Les utilisateurs de GitHub Enterprise Server disposant d’une version antérieure à la 3.19.1 sont priés de passer immédiatement à la dernière version.
Des millions de dépôts à la portée de tous
« Wiz Research a découvert une vulnérabilité critique (CVE-2026-3854) dans l’infrastructure git interne de GitHub qui aurait pu affecter aussi bien GitHub.com que GitHub Enterprise Server », a déclaré l’entreprise. « En exploitant une erreur d’injection dans le protocole interne de GitHub, tout utilisateur authentifié pouvait exécuter des commandes arbitraires sur les serveurs backend de GitHub avec une seule commande, en utilisant rien d’autre qu’un client git standard. »
Selon Wiz, cela rendait accessibles des millions de dépôts publics et privés d’autres utilisateurs et organisations sur les nœuds concernés. Sur GitHub Enterprise Server, la même vulnérabilité permet une compromission totale du serveur, incluant l’accès à tous les dépôts hébergés et aux secrets internes.
Action requise
Wiz a informé GitHub de la situation. « Une découverte de cette ampleur et de cette gravité est rare, donne lieu à l’une des récompenses les plus élevées de notre programme Bug Bounty, et rappelle que les recherches en sécurité les plus percutantes proviennent de chercheurs qualifiés qui savent poser les bonnes questions », a déclaré Alexis Wales, CISO chez GitHub.
Les utilisateurs de GitHub.com n’ont aucune mesure à prendre, car GitHub a déjà résolu ce problème. En revanche, une action immédiate est requise pour GitHub Enterprise Server. L’entreprise demande d’effectuer la mise à jour vers la version GHES 3.19.3 ou ultérieure.
La vulnérabilité a déjà été corrigée en mars, mais sa divulgation n’a lieu que maintenant. Cette version corrige la faille CVE-2026-3854.