Kritische GitHub-Schwachstelle: Code-Ausführung per Git-Push
KI-generiert mit ChatGPT
Das Sicherheitsteam von Wiz hat eine kritische Schwachstelle in der internen Git-Infrastruktur von GitHub veröffentlicht. Die Sicherheitslücke wurde als CVE-2026-3854 im internationalen Schwachstellenkatalog Common Vulnerabilities and Exposures aufgenommen und hat einen CVSS-Wert von 8,7. Jeder authentifizierte Nutzer mit Push-Rechten war in der Lage, mit einem einzigen git push beliebigen Code auf dem Backend-Server auszuführen.
Wo lag die Schwachstelle?
Die Ursache liegt im internen X-Stat-Header. GitHub übergab Push-Optionen ungefiltert an einen semikolon-getrennten Service-Header. Mit präparierten Werten ließ sich der Header aufbrechen und beliebige Metadaten einschleusen. Auf GitHub Enterprise Server reichte dies aus, um die Instanz vollständig zu übernehmen.
Wie reagierte GitHub?
Wiz meldete den Fund am 4. März 2026. GitHub deployte einen Fix für github.com innerhalb von sechs Stunden. Die forensische Untersuchung ergab keine Hinweise auf eine Ausnutzung.
Für Enterprise Server stehen Patches in sechs Versionssträngen bereit: 3.14.24, 3.15.19, 3.16.15, 3.17.12, 3.18.6 und 3.19.3. Laut Wiz-Telemetrie waren zum Zeitpunkt der Veröffentlichung noch 88 % aller GHES-Instanzen ungepatcht.
AnzeigeWas diesen GitHub-Bug so gefährlich macht
Wiz nutzte für das Reverse Engineering der internen Protokolle das Werkzeug IDA MCP. Es kombiniert den Disassembler IDA Pro mit einer KI-Anbindung über das Model Context Protocol. Laut Wiz gehört dieser Fund zu den ersten kritischen Schwachstellen, die mit KI-Unterstützung in Closed-Source-Binaries entdeckt wurden. Die Sicherheitschefin von GitHub, Alexis Wales, beziffert den Fund als einen der höchstdotierten Fälle in der Geschichte des Bug-Bounty-Programms. Der Fall reiht sich ein in eine wachsende Liste von GitHub-Sicherheitsthemen der vergangenen Monate.
Was sollten Anwender jetzt tun?
Wer GitHub.com nutzt, muss nichts unternehmen. Wer aber selbst GitHub Enterprise Server betreibt, sollte das Update mit höchster Priorität einspielen. Die Sicherheitslücke wurde bislang nicht ausgenutzt, doch das Schadenspotenzial ist enorm. Zugriff über Tenant-Grenzen hinweg auf Millionen Repositories wären möglich gewesen. Die Episode unterstreicht zudem, warum CI/CD-Pipelines mit Push-Rechten zur größten Schwachstelle moderner Software-Lieferketten werden.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
