O GitHub corrigiu o problema em GitHub.com e lançou patches para todas as versões suportadas do GitHub Enterprise Server poucas horas após o relatório. No entanto, Wiz disse que 88% das instâncias do Enterprise Server permaneciam vulneráveis na Internet no momento da divulgação pública.
Processamento defeituoso do GitHub do git push
A falha, rastreada como CVE-2026-3854, resultou de como o GitHub processa solicitações git push em sua infraestrutura Git de back-end. De acordo com Wiz, o problema envolve um componente interno conhecido como X-STAT, que fica no caminho do tratamento das operações Git no lado do servidor do GitHub.
Os pesquisadores do Wiz descobriram que um git push especialmente criado poderia passar entradas estruturadas maliciosamente para o X-STAT, onde não era tratado com segurança antes de ser incorporado na execução do comando backend. Como esse processamento acontece no lado do servidor como parte da manipulação normal de eventos de repositório do GitHub, a entrada pode influenciar como os comandos foram construídos ou executados dentro desse pipeline.
