Kritische Sicherheitslücke in GitHub: Codeausführung per git push (CVE-2026-3854)

Wiz Research hat Ende März eine schwerwiegende Schwachstelle in der internen Git-Infrastruktur von GitHub entdeckt und verantwortungsvoll gemeldet. Die Lücke erlaubte es jedem angemeldeten Nutzer, mit einem einzigen git push-Befehl beliebigen Code auf GitHubs Backend-Servern auszuführen – ohne spezielle Werkzeuge, nur mit einem normalen Git-Client.

Das Kernproblem lag in der internen Kommunikation zwischen GitHubs Diensten: Push-Optionen, die Nutzer beim git push mitgeben können, wurden ungeprüft in einen internen Header übernommen. Da dieser Header Felder mit Semikolon trennt, konnte ein Angreifer über manipulierte Push-Optionen eigene sicherheitsrelevante Felder einschleusen und so Schutzmechanismen aushebeln – bis hin zur vollständigen Übernahme des Servers. Auf GitHub.com hätte die Lücke Zugriff auf Millionen öffentlicher und privater Repositories anderer Nutzer ermöglicht. GitHub hat die Lücke auf GitHub.com innerhalb von 6 Stunden nach der Meldung geschlossen.

Wer GitHub Enterprise Server (GHES) selbst betreibt, muss jetzt handeln: Zum Zeitpunkt der Veröffentlichung waren laut Wiz noch 88 % aller GHES-Instanzen verwundbar. Die gepatchten Versionen sind 3.14.24, 3.15.19, 3.16.15, 3.17.12, 3.18.6 und 3.19.3. Ein Update ist dringend und ohne Aufschub einzuspielen.

Wer nur GitHub.com nutzt, ist bereits geschützt und muss nichts unternehmen. Wer unsicher ist, ob die eigene GHES-Version betroffen ist, prüft dies unter Admin → Site admin → Management console oder über die API (/manage/v1/version). Alle Versionen bis einschliesslich 3.19.1 sind verwundbar.

Bemerkenswert ist auch, dass die Lücke mithilfe von KI-gestützter Reverse-Engineering-Analyse gefunden wurde – ein Hinweis darauf, dass solche Methoden künftig öfter zur Entdeckung tiefliegender Schwachstellen beitragen werden.

Originalartikel: https://www.wiz.io/blog/github-rce-cve-2026-3854

Tags :

Related Posts

Cyberangriff auf Europa.eu – Kommission bestätigt Datendiebstahl

Am 24. März 2026 entdeckte die Europäische Kommission einen Angriff auf die Cloud-Infrastruktur, auf der die öffentlichen Websites unter europa.eu betrieben werden. Drei Tage später, am 27. März, informierte sie die Öffentlichkeit. Erste Untersuchungsergebnisse bestätigen, dass Daten von diesen Webseiten gestohlen wurden. Die internen Systeme der Kommission seien laut eigenen Angaben nicht betroffen gewesen, und die Verfügbarkeit der Websites wurde nicht unterbrochen. Betroffene EU-Einrichtungen werden derzeit direkt benachrichtigt.

Read More

NLTK-Downloader erlaubt Überschreiben beliebiger Dateien (CVE-2026-33236)

Die beliebte Python-Bibliothek NLTK (Natural Language Toolkit) weist in allen Versionen bis einschliesslich 3.9.2 eine kritische Path-Traversal-Schwachstelle auf. Der NLTK-Downloader prüft beim Verarbeiten von XML-Indexdateien die Attribute subdir und id nicht auf gefährliche Zeichenfolgen wie ../. Ein Angreifer, der einen eigenen XML-Indexserver betreibt, kann dadurch Opfer dazu bringen, beim Ausführen eines scheinbar harmlosen downloader.download()-Aufrufs beliebige Dateien auf deren System zu erstellen oder zu überschreiben – darunter potenziell sensitive Systemdateien wie /etc/passwd oder SSH-Schlüssel.

Read More

Datenpanne bei asgoodasnew – 1,8 Millionen Kunden betroffen

Der deutsche Wiederverkäufer für Elektronik asgoodasnew wurde Anfang März 2026 Opfer eines Hackerangriffs. Über eine Sicherheitslücke in einem Zahlungsmodul eines Drittanbieters erlangten Angreifer Zugang zu Kundendaten – Namen, Adressen, E-Mail-Adressen, verschlüsselte Passwörter und Bestellhistorien von bis zu 1,8 Millionen Personen könnten abgeflossen sein. Das Unternehmen hat reagiert und alle Passwörter vorsorglich zurückgesetzt.

Read More