По хуку через sudo вызываем скрипт, который подменяет права и обновляет сорцы. В sudoers добавляем разрешение на один (и только на него) файл. Важно: в этот файл нельзя давать писать гиту! Владелец скрипта — рут, но права на чтение всем. Почему? Если дать писать — можно выполнять любые команды. Если не дать читать — выполнить не выйдет.