Ein einziger git push reicht. Mehr brauchten die Forscher von Wiz nicht, um auf GitHub-Servern beliebigen Code auszuführen. Die Lücke CVE-2026-3854 trägt CVSS 8.7 und betraf zeitweise sowohl GitHub.com als auch jede selbst gehostete Enterprise-Server-Instanz.
SCHOCK: Push-Option als Türöffner
Der Trigger ist banal. GitHub nahm User-Eingaben aus git push --push-option entgegen und reichte sie ungesäubert an interne Services weiter. Wer ein einziges Sonderzeichen einschmuggelte, hängte eigene Befehle an die Pipeline. Resultat: Code-Ausführung auf den Storage-Nodes – also genau dort, wo deine privaten Repos liegen.
Wiz brauchte für den Proof-of-Concept exakt einen Push und ein paar Anführungszeichen. Damit ließ sich auf Millionen privater Repositories zugreifen, die zufällig auf demselben Storage-Node lagen.
UNGLAUBLICH: 88 Prozent sind noch offen
GitHub.com hat den Fix am 4. März stillschweigend ausgerollt. Für die Enterprise Server kam der Patch am 10. März. Klingt nach erledigt – ist es aber nicht. Help Net Security misst nach: 88 Prozent der GHES-Instanzen tragen noch eine alte Version. Heißt: Acht von zehn Firmen, die GHES selbst hosten, sind im Mai 2026 weiter angreifbar.
Das Brisante daran: Jeder Mitarbeiter mit Push-Zugriff auf irgendein Repo kann den Fehler auslösen. Pentester, Praktikanten, Ex-Mitarbeiter mit Restzugang – alle können ohne Admin-Rechte den Server kapern.
So rettest du deinen Code-Bunker in 5 MINUTEN
Drei Schritte, sonst nichts:
- GHES auf den März-Hotfix heben. Im Enterprise-Portal liegt für jede unterstützte Linie ein Patch-Build bereit. Maintenance-Mode rein, Update-Paket einspielen, neu starten – fertig.
- Push-Optionen einschränken. Wer nicht sofort patchen kann, blockt verdächtige Push-Optionen per
pre-receive-Hookoder schaltet das Feature komplett ab. - Audit-Log durchforsten. Suche nach Push-Events mit ungewöhnlichen Sonderzeichen seit Anfang März. Wer da fündig wird, fährt direkt einen Incident-Response-Plan.
EXTRA-TIPP: SaaS-Nutzer ruhig schlafen
Wer GitHub.com nutzt, muss nichts tun. Der Fix lief automatisch, GitHub bestätigt nach Telemetriedaten keine aktive Ausnutzung. Nur GHES-Selbsthoster sind in der Pflicht – und davon eben fast alle.
FAZIT: Patchen oder Schlüssel rotieren
CVE-2026-3854 zeigt, wie wenig es braucht, um eine ganze Code-Plattform zu kippen. Ein Sonderzeichen, eine vergessene Sanitisierung, schon liegt der Server offen. Die Lücke ist gepatcht – aber nur, wenn du das Update auch wirklich einspielst. Bis dahin liegt der Schlüssel zu deinem Repo unter der Fußmatte.