CVE-2026-45033: Copilot CLI,projeye yerleştirilen bir bare git repo üzerinden saldırgan komutları çalıştırabiliyordu

GitHub,Copilot CLI'daki bir projeye yerleştirilmiş bir dosyanın,kullanıcıdan herhangi bir işlem gerektirmeden,geliştiricinin makinesinde rastgele komut çalıştırmaya dönüşebileceği bir açığı açıklayıp kapattı. dev.to'daki bir yazıya göre GitHub'ın advisory'si (GHSA-9ccr-r5hg-74gf,CVE-2026-45033) bulguyu araştırmacı syvb'ye atfediyor ve @github/copilot'un 1.0.42 dahil tüm sürümlerini etkilenen sürümler olarak listeliyor. Düzeltmeyi içeren sürüm 1.0.43.

Saldırı nasıl işliyor

Bu hata modelle hiç ilgili değil; standart git davranışına dayanıyor. dev.to'nun anlattığı gibi,git bir dizin ağacında gezinirken bare repoları otomatik olarak keşfediyor ve içinde saklanan yapılandırmayı uyguluyor. core.fsmonitor gibi bir ayar,git status veya git diff gibi rutin bir işlem index'i yenilediğinde git'in kendi kendine başlattığı bir programı belirtiyor.

Copilot CLI,bir dizinde çalışırken bu tür git işlemlerini arka planda kendiliğinden yürütüyor. İkisini birleştirin,yerleştirilmiş bir bare repo bir tetikleyiciye dönüşüyor. Bir pull request,ele geçirilmiş bir bağımlılık veya agent'ın yönlendirildiği herhangi bir ağaç üzerinden projeye vendor/malicious.git/ gibi bir dizini sızdırabilen biri,core.fsmonitor'u rastgele bir komuta ayarlayabilir. Copilot CLI bir sonraki seferde rutin git görevlerinden birini gerçekleştirdiğinde,o komut çalışır. Önde bir prompt,tıklama veya onay diyalogu yoktur.

Önem düzeyi ve düzeltme

Advisy,zafiyeti CVSS ölçeğinde 8.5 (Yüksek) olarak puanlıyor; vektör,yerel bir saldırı yolu,düşük karmaşıklık,düşük gerekli ayrıcalık,kullanıcı etkileşimi olmadığını ve gizlilik,bütünlük ile erişilebilirlik üzerinde yüksek etki gösteriyor. 1.0.43'te gelen düzeltme safe.bareRepository=explicit ayarını yapıyor; bu,git'in otomatik bare repo keşfini kapatıyor ve başıboş bare repolarda bulunan yapılandırma artık devralınmıyor.

Dev.to,advisy'nin söylemediği konularda dikkatli: zafiyetli davranışın nasıl ortaya çıktığını,iç incelemenin mi yoksa dış bildiriminin mi önce fark ettiğini veya 1.0.43 çıkmadan önce kaç kurulumun etkilenen bir sürüm çalıştırdığını açıklamıyor. Ayrıca sahada sömürüldüğünü de iddia etmiyor — bu açıklanmış ve yamalanmış bir açık,kurbanları olan doğrulanmış bir olay değil. Hâlâ 1.0.42 veya daha eski bir sürümde olanlar güncellemeli.

Copilot ötesinde bir örüntü

dev.to yazısı kapsam konusunda bir uyarı ekliyor: core.fsmonitor'un arka plan git işlemleriyle tetiklenmesi örüntüsünün daha sonra diğer yapay zekâ kodlama agent'larını da etkilediği bildirildi. Advisory ve yazı özellikle Copilot CLI'yı ele alıyor,diğer araçların durumu ayrı bir hikâye.

Neden önemli

Dev.to bunu Copilot'u ilgilendiren birkaç güvenlik sorunundan biri olarak konumluyor,ama mekanik olarak diğerlerinden farklı olduğunu belirtiyor. Önceki sorunlar modelin okuduğu veya ürettiği şeyleri hedef alıyordu: gizli Unicode prompt injection,otomatik tamamlamanın sızmış kimlik bilgilerini görünür kılması ve CVSS 9.6 puanlı CamoLeak veri sızdırma kanalı. Bu açık ise agent'ın arka plan araçlarını — işini yaparken istemeden çalıştırdığı git komutlarını — hedefliyor.

Bu ayrım,endüstrinin agent güvenliğini düşünme biçimi açısından önemli. Burada hiçbir model akıl yürütmesi devrede değil; dolayısıyla daha akıllı ya da daha temkinli bir model bu açığı kapatmıyor. Açık,faydalı kalabilmek için git işlemleri çalıştırması gereken agent'lı bir CLI ile,git'in dizin ağacında bulduğu yapılandırmayı çalıştırma istekliliği arasında var. Kapatılması,aracın varsayılan olarak neye güvendiğini daraltmayı gerektirdi — GitHub'ın tam olarak yaptığı düzeltme buydu. Bu,arka planda git'e komut veren diğer tüm kodlama agent'ları için yararlı bir şablon.