깃(Git) 클론만 했는데 코드가 실행된다? — CVE-2026-111760, 2.56.1로 올려야 하는 사람과 확인법
개발 PC에 Git이 있다면 2.56.1(또는 쓰는 계열의 수정판)로 올리는 것이 맞습니다. Git 프로젝트가 11월 10일(미국) 보안 결함 6건을 고쳤고, 그중 CVE-2026-111760은 악성 저장소를 서브모듈까지 재귀 클론하면 공격자 코드가 실행될 수 있는 결함입니다. 윈도우용 Git for Windows 2.56.1도 한국 시각 11월 11일 오전에 나왔습니다.
무슨 일인가
깃허브 블로그 설명에 따르면 Git이 작업 폴더 경로를 다루는 과정에서 정수 잘림이 생겨, 아주 긴 경로가 검사를 통과한 뒤 더 짧은 이름으로 디스크에 쓰일 수 있었습니다. 공격자는 이 차이로 서브모듈의 .git 파일을 악성 설정·훅(hook)이 든 폴더를 가리키는 링크로 바꿔, 재귀 클론 중에 코드를 실행할 수 있습니다. 수정판은 2.56.1이고 2.55.1·2.54.1·2.53.1·2.52.1·2.51.3·2.50.2에도 같은 수정이 들어갔습니다. 함께 고친 5건은 빈 저장소 클론 시 경로 조작, 병합·바이너리 패치 처리 중 메모리 오류, fast-import 파일 접근입니다. 실제 공격이 있었다는 언급은 공지에 없습니다.
Git 2.56.1 공개
github.com 반영
Git for Windows 2.56.1
GitHub Desktop 등
왜 중요한가
Git은 사이트·앱 코드를 받는 가장 기본 도구라, 개발자뿐 아니라 외주 개발자에게 저장소를 넘겨받는 운영자 PC에도 깔려 있는 경우가 많습니다. 서브모듈이 있는 저장소는 보통 재귀 클론으로 받으니, 처음 보는 저장소를 받는 순간이 위험 구간입니다. 또 Git은 운영체제에 깔린 것과 앱 안에 따로 들어 있는 것이 별개라, 한쪽만 올리면 다른 쪽은 그대로 남습니다.
| 어디의 Git | 수정 상태(11/10~11 기준) | 할 일 |
|---|---|---|
| Git 공식(리눅스·소스) | 2.56.1 및 계열별 수정판 | 배포처(OS·패키지 관리자) 업데이트 |
| 맥 기본 Git(Apple Git) | 애플 업데이트 대기 | 그 전까지 재귀 클론 주의 |
| Git for Windows | 2.56.1 배포됨 | 설치 파일로 업데이트 |
| github.com | 반영 완료 | 사용자 조치 없음 |
| GitHub Desktop·Copilot 앱 | 준비 중 | 앱 업데이트 나오면 설치 |
| GitHub Enterprise Server | 3.19.15·3.20.11·3.21.9·3.22.4 | 관리자 업그레이드 |
내 사업·앱에 무슨 의미
- 1인 개발자 — 모르는 저장소를 --recursive로 받기 전에 먼저 Git부터 올리세요. AI 코딩 에이전트에게 저장소를 받아 오게 할 때도 같은 Git이 쓰입니다.
- 외주로 사이트를 맡긴 사장님 — 저장소를 직접 받는 PC가 있다면 버전만 확인하면 됩니다.
- 자체 Git 서버 운영자 — 병합 검사를 서버에서 돌린다면 함께 고친 병합 결함도 해당될 수 있습니다.
지금 해볼 것
앱몬스터 작업용 맥 미니의 Git은 2.54.0(Apple Git)으로 수정 전 버전이었습니다. 작업 폴더에 서브모듈 설정 파일(.gitmodules)은 0개라 평소 작업 영향은 적지만, 2026년 11월 기준 수정판이 나올 때까지 모르는 저장소는 재귀 클론하지 않기로 했습니다.
Q&A — Git 2.56.1 자주 묻는 질문
git clone만 하면 다 위험한가요?
아닙니다. 이번 코드 실행 결함은 서브모듈까지 함께 받는 재귀 클론(--recursive 또는 --recurse-submodules)에서, 그것도 악성 저장소를 받을 때 문제가 됩니다. 그래도 수정판으로 올리는 것이 가장 확실한 대책입니다.
Git 버전은 어떻게 확인하나요?
터미널이나 명령 프롬프트에서 git --version을 입력합니다. 2.56.1 또는 쓰는 계열의 수정판(2.55.1·2.54.1·2.53.1·2.52.1·2.51.3·2.50.2)이면 이번 수정이 들어간 버전입니다. 운영체제 배포판이 따로 패치한 경우는 배포처 공지를 확인하세요.
GitHub Desktop 같은 앱도 업데이트해야 하나요?
네. 깃허브는 Git을 따로 품고 있는 앱도 업데이트하라고 권고했고, GitHub Desktop과 GitHub Copilot 앱 수정판은 11월 10일 기준 준비 중이라고 밝혔습니다. 앱 업데이트가 나오면 바로 받으세요.
출처
- GitHub 블로그 — Git security vulnerabilities announced (2026-11-10)
- Git for Windows 2.56.1 릴리스 (2026-11-10 22:13 UTC)
- The Hacker News — Git 재귀 클론 코드 실행 결함 보도 (2026-11-10)