Wiz révèle une faille critique dans GitHub
La société de cybersécurité Wiz Research a rendu publique, le 28 avril 2026, une vulnérabilité critique affectant GitHub, découverte le 4 mars 2026 et référencée « CVE-2026-3854 ». Elle touche à la fois la plateforme cloud GitHub.com et GitHub Enterprise Server (GHES), sa version auto-hébergée utilisée par les grandes entreprises et administrations.
La faille permet à tout utilisateur connecté d’effectuer un « git push » (une commande classique de la plateforme) particulier, qui l’autorise à modifier des paramètres de sécurité. Trois de ces commandes suffisent pour obtenir le droit d’injecter du code arbitraire sur l’ensemble des systèmes, et prendre ainsi le contrôle des serveurs internes.
Les chercheurs n’ont aucune preuve que cette faille a été exploitée. GitHub a développé un correctif six heures après la découverte de la vulnérabilité, et l’a déployé sur GitHub.com ainsi que dans la mise à jour 3.19.3 des instances GHES. Au moment de la divulgation de la faille, 88 % de ces instances demeuraient vulnérables.