GitHub възнагради изследователя по сигурността Saif Ghani с $100 000 в рамките на програмата си за откриване на уязвимости (bug bounty) след разкриването на CVE-2026-3854 – критична уязвимост за отдалечено изпълнение на код (RCE), засягаща пайплайна за обработка на Git push заявки в GitHub.
Наградата се съобщава като най-голямото публично оповестено плащане през програмата Vulnerability Reward Program на GitHub. Ghani, известен в X като @sagitz_, обяви наградата на 22 юли 2026 г.
По-късно GitHub Security публично благодари на изследователя, потвърждавайки, отстраняването на проблема чрез координирано разкриване и коригиране на уязвимостта.
Съобщава се, че уязвимостта е позволявала на неавтентифициран атакуващ да изпълнява произволни команди върху бекенд инфраструктурата на GitHub чрез изпращане на специално конфигуриран URL адрес на хранилище по време на Git операции.
Проблемът произтича от начина, по който засегнатият услуга обработва данни и URL адреси за хранилища в работния поток на Git push. Уязвимостите за отдалечено изпълнение на код са сред най-сериозните дефекти, засягащи софтуерни платформи, тъй като могат да позволят на киберпрестъпници да изпълняват команди в целевата среда.
GitHub плати награда за Git Push RCE уязвимост
В този случай успешното експлоатиране би могло да осигури достъп до контекста на засегнатия сървър, създавайки рискове за целостта на хранилищата, поверителността на изходния код, идентификационните данни и сигурността на софтуерната верига за доставки.
Според разкритите технически подробности векторът на атака е включвал зловредни данни в хранилището, които са достигали до бекенд компонентите за обработка без подходящо изчистване или безопасна обработка.
Атакуващ би могъл да използва манипулирани стойности, за да контролира изпълнението на команди и да получи достъп на ниво команден шел до засегнатата среда.
След като бъде постигнато изпълнение на код върху платформа за хостинг на изходен код, въздействието може да надхвърли границите на едно-единствено хранилище. Автор на заплахата потенциално би могъл да достъпи тайни (secrets) в хранилищата, да променя файлове, свързани с изграждането (build process), да променя изходен код или да се намесва в Git обектите, обработвани от услугата.
Подобен достъп би могъл да подпомогне последващи атаки по веригата за доставки (supply-chain attacks) чрез инжектиране на зловреден код в проекти, на които разработчици и компании се доверяват. GitHub незабавно е внедрил мерки за защита след получаване на доклада и е завършил инсталирането на корекции за сигурност във всички засегнати услуги.
Процесът на координирано оповестяване е позволил на компанията да отстрани уязвимостта, преди подробна информация за експлоатирането ѝ да стане масово достъпна.
CVE-2026-3854 подчертава значението на сигурността в Git инфраструктурата, особено при парсването на URL адреси за хранилища, обработката на Git протоколи, сървърните hooks, генерирането на архиви и бекенд автоматизацията.
Тези компоненти често обработват данни, контролирани от атакуващи, и могат да взаимодействат с команди на операционната система, вътрешни API интерфейси, системи за съхранение на данни и услуги с достъп до идентификационни данни.
Според RuntimeWire изплатената от GitHub сума от $100 000 показва потенциалното въздействие на уязвимост на ниво платформа, засягаща както публични, така и частни хранилища.
Програмата Vulnerability Reward Program на компанията предлага високи възнаграждения за критични уязвимости, които биха могли да компрометират основни услуги на GitHub, като най-високите нива на плащане достигат до $150 000.
Инцидентът демонстрира и защо програмите за откриване на грешки (bug bounty) остават изключително важни за големите платформи за разработчици. Външни изследователи могат да идентифицират сложни вектори на атака, които автоматизираното тестване и вътрешните проверки могат да пропуснат, особено там, където се пресичат Git операциите, облачната инфраструктура и работните потоци на веригата за доставки.
За организациите, използващи GitHub, този случай потвърждава необходимостта от защита на тайните в хранилищата, прилагане на подписани коммити (signed commits), преглед на промените в CI/CD работните потоци, прилагане на защити за клонове (branch protections) и мониторинг за необичайна Git активност.
Компрометирането при основен доставчик на код хостинг може да предизвика широко преносимо въздействие върху сигурността, което прави бързото докладване и отстраняване на уязвимости от съществено значение за цялата софтуерна екосистема.