CVE-2026-3854

IMMEDIATE ACTIONS:

1. Identify all GitHub Enterprise Server instances in your environment and document their current versions

2. Restrict push access to trusted developers only; implement principle of least privilege for repository permissions

3. Enable audit logging for all git push operations and monitor for suspicious push option patterns

4. Review recent push activity logs for any anomalous push options or unexpected code changes



PATCHING GUIDANCE:

1. Upgrade to patched versions immediately: 3.14.24, 3.15.19, 3.16.15, 3.17.12, 3.18.6, or 3.19.3

2. Plan maintenance windows with minimal disruption; coordinate with development teams

3. Test patches in staging environment before production deployment

4. Maintain backups before applying patches



COMPENSATING CONTROLS (if patching delayed):

1. Implement network-level restrictions limiting push operations to known IP ranges

2. Deploy Web Application Firewall (WAF) rules to detect and block suspicious push option patterns

3. Enforce multi-factor authentication for all repository access

4. Implement code review requirements for all pushes with automated scanning



DETECTION RULES:

1. Monitor for git push operations containing special characters in push options (particularly delimiter characters)

2. Alert on push operations from unusual accounts or IP addresses

3. Track failed authentication attempts followed by successful pushes

4. Monitor for unexpected process execution or system calls originating from git service processes

الإجراءات الفورية:

1. حدد جميع مثيلات خادم GitHub Enterprise Server في بيئتك وقم بتوثيق إصداراتها الحالية

2. قيد وصول الدفع للمطورين الموثوقين فقط؛ طبق مبدأ الامتياز الأقل لأذونات المستودع

3. فعّل تسجيل التدقيق لجميع عمليات دفع git وراقب الأنماط المريبة في خيارات الدفع

4. راجع سجلات نشاط الدفع الأخيرة للبحث عن أي خيارات دفع شاذة أو تغييرات كود غير متوقعة



إرشادات التصحيح:

1. قم بالترقية إلى الإصدارات المصححة فوراً: 3.14.24 أو 3.15.19 أو 3.16.15 أو 3.17.12 أو 3.18.6 أو 3.19.3

2. خطط نوافذ الصيانة بأقل قدر من الانقطاع؛ تنسيق مع فرق التطوير

3. اختبر التصحيحات في بيئة التجريب قبل نشر الإنتاج

4. احتفظ بنسخ احتياطية قبل تطبيق التصحيحات



الضوابط البديلة (إذا تأخر التصحيح):

1. طبق قيوداً على مستوى الشبكة تحد من عمليات الدفع إلى نطاقات IP المعروفة

2. نشر قواعد جدار حماية تطبيقات الويب (WAF) للكشف عن أنماط خيارات الدفع المريبة وحجبها

3. فرض المصادقة متعددة العوامل لجميع عمليات الوصول إلى المستودع

4. طبق متطلبات مراجعة الكود لجميع عمليات الدفع مع المسح الآلي



قواعد الكشف:

1. راقب عمليات دفع git التي تحتوي على أحرف خاصة في خيارات الدفع (خاصة أحرف الفاصل)

2. أصدر تنبيهات لعمليات الدفع من حسابات أو عناوين IP غير عادية

3. تتبع محاولات المصادقة الفاشلة متبوعة بعمليات دفع ناجحة

4. راقب تنفيذ العمليات غير المتوقعة أو استدعاءات النظام الناشئة من عمليات خدمة git