GitHubに重大RCE脆弱性CVE-2026-3854、git push一発で他社リポジトリまで侵害可能

「GitHub.comは安心して使えると思っていたのに、git pushでサーバーが乗っ取られる脆弱性って本当？」
「うちはオンプレのGitHub Enterprise Serverを使っているけど、何をすればいい？」

チップス

ボス、git pushしただけで他人のリポジトリまで覗けるなんて、信じられないでしゅよ……。

ボス

ふふふ、Wizが発見したCVE-2026-3854は、GitHub内部のX-STATというコンポーネントに対するインジェクションが入り口だ。GitHub.com側は2時間以内に修正されたが、GHESは3.19.3への更新が今でも必須だな。

2026年4月29日、Wiz Researchが「git pushひとつで任意コード実行が可能なGitHubの重大脆弱性CVE-2026-3854」を公表しました。
GitHub.comは即時修正済みですが、自社運用のGitHub Enterprise Server（GHES）では修正適用が遅れている組織が多く、公開時点でもインターネット上の88%が脆弱なままと報告されています。
本記事で攻撃の仕組みと組織が取るべき対応を整理します。

自社のGHESや、GitHub上のソースコード資産を守るうえで重要な事案です。
本件の核心を押さえておきましょう。

CVE-2026-3854の概要

本件はGitHubの内部処理パイプラインそのものを揺るがす脆弱性です。基本情報から確認しましょう。

脆弱性の基本情報

CVE-2026-3854はWiz Researchが2026年3月4日に発見し、GHES 3.19.1上でRCEを実証したのちGitHubへ報告した脆弱性です。
GitHub.com側はGitHubが2時間以内に修正をデプロイし、追加でフォレンジック調査を実施しました。
影響範囲は以下のとおりです。

チップス

GitHub.comの修正が2時間って早すぎでしゅ！でもGHESは自社で当てなきゃいけないんでしゅよね？

ボス

そうだ。クラウド版とオンプレ版で対応が分かれる典型例だな。日本企業もGHESを業務基盤として使うケースが増えており、運用責任を意識しなければならん。

GitHub.comでの被害可能性

Wizによれば、GitHub.com上では本脆弱性の悪用により共有ストレージノードでRCEが成立し、他のユーザー・組織に属する数百万のリポジトリへアクセス可能だったとされています。
クラウド側はGitHubが対応済みのため利用者側の追加作業は不要ですが、GitHubはフォレンジック調査の状況も同社ブログで公表しています。

攻撃の仕組みと組織の対応

X-STATコンポーネントの構造的弱点と、企業がGHES／GitHub.comそれぞれで取るべき行動を整理します。

X-STAT注入の仕組み

X-STATはGitHubのGit操作処理に介在する内部コンポーネントです。
Wizの解析では、特殊に細工したgit pushがX-STATへ悪意ある入力を渡し、pre-receiveバイナリを経由してバックエンドのコマンド実行に到達することが判明しました。
具体的な悪用ステップは以下のとおりです。

チップス

3つの注入を組み合わせて、ようやく実行までたどり着くんでしゅね。一発で全部通せちゃうのが恐ろしいでしゅ……。

ボス

そうだ。だからこそWizは「Push Optionsという機能の境界をどう信頼するか」が再設計の論点になると指摘している。

企業が取るべき対応

GHESとGitHub.comでは取るべき対応が異なります。
とくにGHESは社内ネットワーク内に置かれることが多く、内部からの攻撃にもさらされる前提で考える必要があります。
必要なアクションは以下のとおりです。

まとめ

CVE-2026-3854は、世界中の開発者が日常的に使うコマンド「git push」が攻撃ベクターになることを示した一件です。
クラウド版は迅速に修正された一方、自己ホスト型のGHESは88%が公開時点で未修正という現状があり、運用責任の重みを再認識すべきタイミングといえます。
GHES運用組織は3.19.3以降への更新と監査ログ点検を最優先で実施してください。

チップス

ボス、自社運用のGitHubこそ早く対応しないとダメでしゅね！

ボス

その認識でいい。ソースコードは企業の心臓部だ。守りを固めようではないか。

DevSecOpsやコード基盤の脆弱性管理に関わりたい方は、ぜひセキュリティフリーランス案件への参画をご検討ください。