{"id":697,"date":"2026-04-28T19:35:04","date_gmt":"2026-04-28T19:35:04","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/28\/los-investigadores-descubren-un-fallo-critico-en-github-cve-2026-3854-rce-que-se-puede-explotar-mediante-un-solo-git-push-cyberdefensa-mx\/"},"modified":"2026-04-28T19:35:04","modified_gmt":"2026-04-28T19:35:04","slug":"los-investigadores-descubren-un-fallo-critico-en-github-cve-2026-3854-rce-que-se-puede-explotar-mediante-un-solo-git-push-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/28\/los-investigadores-descubren-un-fallo-critico-en-github-cve-2026-3854-rce-que-se-puede-explotar-mediante-un-solo-git-push-cyberdefensa-mx\/","title":{"rendered":"Los investigadores descubren un fallo cr\u00edtico en GitHub CVE-2026-3854 RCE que se puede explotar mediante un solo Git Push \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Investigadores de ciberseguridad han revelado detalles de una vulnerabilidad de seguridad cr\u00edtica que afecta a GitHub.com y GitHub Enterprise Server y que podr\u00eda permitir a un usuario autenticado obtener la ejecuci\u00f3n remota de c\u00f3digo con un solo comando \u00abgit push\u00bb.<\/p>\n<p>El defecto, rastreado como <strong>CVE-2026-3854<\/strong> (Puntuaci\u00f3n CVSS: 8,7), es un caso de inyecci\u00f3n de comandos que podr\u00eda permitir a un atacante con acceso push a un repositorio lograr la ejecuci\u00f3n remota de c\u00f3digo en la instancia.<\/p>\n<p>\u00abDurante una operaci\u00f3n de git push, los valores de las opciones de inserci\u00f3n proporcionados por el usuario no se desinfectaron adecuadamente antes de incluirlos en los encabezados de servicio internos\u00bb, seg\u00fan un <a href=\"https:\/\/github.com\/advisories\/GHSA-64fw-jx9p-5j24\">Aviso de GitHub<\/a> por la vulnerabilidad. \u00abDebido a que el formato del encabezado interno utiliza un car\u00e1cter delimitador que tambi\u00e9n podr\u00eda aparecer en la entrada del usuario, un atacante podr\u00eda inyectar campos de metadatos adicionales a trav\u00e9s de valores de opciones de inserci\u00f3n dise\u00f1ados\u00bb.<\/p>\n<p>A la empresa de seguridad en la nube Wiz, propiedad de Google, se le atribuye el m\u00e9rito de descubrir e informar el problema el 4 de marzo de 2026, y GitHub valid\u00f3 e implement\u00f3 una soluci\u00f3n en GitHub.com en dos horas.<\/p>\n<p>La vulnerabilidad tambi\u00e9n se solucion\u00f3 en las versiones 3.14.25, 3.15.20, 3.16.16, 3.17.13, 3.18.8, 3.19.4, 3.20.0 o posteriores de GitHub Enterprise Server. No hay evidencia de que el problema haya sido explotado alguna vez en un contexto malicioso.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-security-guide-d-1\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjRxP56rpa2W0O_0yc0xgs5l2r4FRV4Wiuq3IqWuFdsd_4g1c3oRVXoHtW9gxo8ObuxmyjqkAf3cD6N1JbVDos7QX99ZHtmeVrg-FUzSnMZLTl1ZFyiSkpqQiw6BcHXz52jr3s42xWEDFOpwWK6HgXOqscGMNkhA5pZK7h6zVV4dpDaLfgy17TidZXVrtUB\/s728-e100\/nudge-d-1.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Seg\u00fan GitHub, el problema afecta a GitHub.com, GitHub Enterprise Cloud, GitHub Enterprise Cloud con residencia de datos, GitHub Enterprise Cloud con usuarios administrados empresariales y GitHub Enterprise Server.<\/p>\n<p>En esencia, el problema surge del hecho de que los usuarios <a href=\"https:\/\/git-scm.com\/docs\/git-push#Documentation\/git-push.txt---push-optionoption\">opciones de inserci\u00f3n de git<\/a> no se desinfectan adecuadamente antes de que los valores se incorporaran al encabezado interno X-Stat. Debido a que el formato de metadatos internos se basa en un punto y coma como car\u00e1cter delimitador que tambi\u00e9n podr\u00eda aparecer en la entrada del usuario, un mal actor podr\u00eda aprovechar este descuido para inyectar comandos arbitrarios y ejecutarlos.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEiAkGYZ8vs0N5vUfEzcIqnrxqxk5g_PmRxs6iq8fwMyskwxHZ7PvTtgzwL2h0ZPTqdb1F7AMFLES0fgmAXA_l2HTkIYfZT-SV-AGYjU6I7PXG8iJtT2ozpWUj6LPK-A8M81z3PRchxPNiwUSD08bHGAleNciXfEJYIpuc0MKs3ftvqjMDcb9TO3aua1ywid\/s1700-e365\/git-exploit.jpg\" style=\"display: block;  text-align: center; clear: left; float: left;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEiAkGYZ8vs0N5vUfEzcIqnrxqxk5g_PmRxs6iq8fwMyskwxHZ7PvTtgzwL2h0ZPTqdb1F7AMFLES0fgmAXA_l2HTkIYfZT-SV-AGYjU6I7PXG8iJtT2ozpWUj6LPK-A8M81z3PRchxPNiwUSD08bHGAleNciXfEJYIpuc0MKs3ftvqjMDcb9TO3aua1ywid\/s1700-e365\/git-exploit.jpg\" alt=\"\" border=\"0\" data-original-height=\"1463\" data-original-width=\"1920\"\/><\/a><\/div>\n<p>\u00abAl encadenar varios valores inyectados, los investigadores demostraron que un atacante podr\u00eda anular el entorno en el que se proces\u00f3 el env\u00edo, evitar las protecciones de espacio aislado que normalmente limitan la ejecuci\u00f3n del enlace y, en \u00faltima instancia, ejecutar comandos arbitrarios en el servidor\u00bb, dijo el director de seguridad de la informaci\u00f3n de GitHub, Alexis Wales. <a href=\"https:\/\/github.blog\/security\/securing-the-git-push-pipeline-responding-to-a-critical-remote-code-execution-vulnerability\/\">dicho<\/a>.<\/p>\n<p>Wiz, en un anuncio coordinado, se\u00f1al\u00f3 que el problema es \u00abnotablemente f\u00e1cil\u00bb de explotar y agreg\u00f3 que permite la ejecuci\u00f3n remota de c\u00f3digo en nodos de almacenamiento compartido. Alrededor del 88% de los casos son actualmente vulnerables al problema en el momento de su divulgaci\u00f3n p\u00fablica. La cadena de ejecuci\u00f3n remota de c\u00f3digo encadena tres inyecciones:<\/p>\n<ul>\n<li>Inyectar una no producci\u00f3n <strong>rieles_env<\/strong> valor para omitir la zona de pruebas<\/li>\n<li>Inyectar <strong>dir_ganchos_personalizados<\/strong> para controlar para redirigir el directorio de gancho<\/li>\n<li>Inyectar <strong>repo_pre_receive_hooks<\/strong> con una entrada de gancho dise\u00f1ada que activa el recorrido de la ruta para ejecutar comandos arbitrarios como usuario de git<\/li>\n<\/ul>\n<p>\u00abCon la ejecuci\u00f3n de c\u00f3digo sin espacio aislado como usuario de git, ten\u00edamos control total sobre la instancia de GHES, incluido el acceso de lectura\/escritura al sistema de archivos y la visibilidad de la configuraci\u00f3n del servicio interno\u00bb, dijo el investigador de seguridad de Wiz, Sagi Tzadik. <a href=\"https:\/\/www.wiz.io\/blog\/github-rce-vulnerability-cve-2026-3854\">dicho<\/a>.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/fast-response-not-fast-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjgi9mu68zRUz1nCLLKmkAA2aBtNfP_JOTXulZoB6yImso1Onk7oM_LI0kdROu8fq5S5oDyMtd1j50W44Ye_8Sl3zQZiE8A9tmFr6kejGKjGh74uoxluF-RyBq_unDQlzjXZHCqQeuYXBoogda5zf0w-zXd6v0rIM7fEw6TcFf_QGWBu5Mop-djkEaOUa5A\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>En cuanto a GitHub.com, un indicador de modo empresarial, que est\u00e1 configurado en \u00abverdadero\u00bb para GitHub Enterprise Server, tiene por defecto \u00abfalso\u00bb, lo que deja inactiva la ruta de los enlaces personalizados. Pero dado que este indicador tambi\u00e9n se pasa en el encabezado X-Stat, es igualmente inyectable usando el mismo mecanismo, lo que resulta en la ejecuci\u00f3n de c\u00f3digo tambi\u00e9n en GitHub.com.<\/p>\n<p>Para empeorar las cosas, dada la arquitectura multiinquilino de GitHub y su infraestructura backend compartida, la compa\u00f1\u00eda se\u00f1al\u00f3 que obtener la ejecuci\u00f3n de c\u00f3digo en GitHub.com permit\u00eda la exposici\u00f3n entre inquilinos, lo que permit\u00eda efectivamente a un atacante leer millones de repositorios en el nodo de almacenamiento compartido, independientemente de la organizaci\u00f3n o el usuario.<\/p>\n<p>A la luz de la gravedad de CVE-2026-3854, se recomienda a los usuarios que apliquen la actualizaci\u00f3n inmediatamente para una protecci\u00f3n \u00f3ptima.<\/p>\n<p>\u00abUn solo comando git push fue suficiente para explotar una falla en el protocolo interno de GitHub y lograr la ejecuci\u00f3n del c\u00f3digo en la infraestructura backend\u00bb, dijo Wiz. \u00abCuando varios servicios escritos en diferentes idiomas pasan datos a trav\u00e9s de un protocolo interno compartido, las suposiciones que cada servicio hace sobre esos datos se convierten en una superficie de ataque cr\u00edtica\u00bb.<\/p>\n<p>\u00abAlentamos a los equipos que crean arquitecturas multiservicio a auditar c\u00f3mo fluye la entrada controlada por el usuario a trav\u00e9s de protocolos internos, especialmente cuando la configuraci\u00f3n cr\u00edtica para la seguridad se deriva de formatos de datos compartidos\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Investigadores de ciberseguridad han revelado detalles de una vulnerabilidad de seguridad cr\u00edtica que afecta a GitHub.com y GitHub Enterprise Server y que podr\u00eda permitir a un usuario autenticado obtener la ejecuci\u00f3n remota de c\u00f3digo con un solo comando \u00abgit push\u00bb. El defecto, rastreado como CVE-2026-3854 (Puntuaci\u00f3n CVSS: 8,7), es un caso de inyecci\u00f3n de comandos [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":585,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[561,2166,24,394,1072,990,2167,931,80,52,670,82,1313,779,1830],"class_list":["post-697","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-critico","tag-cve20263854","tag-cyberdefensa-mx","tag-descubren","tag-explotar","tag-fallo","tag-git","tag-github","tag-investigadores","tag-los","tag-mediante","tag-puede","tag-push","tag-rce","tag-solo"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/697","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=697"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/697\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/585"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=697"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=697"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=697"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}