Exploitarium trasforma la divulgazione zero-day in infrastruttura permanente

Il 27 giugno 2026 un ricercatore anonimo noto come "bikini" ha pubblicato su GitHub il repository Exploitarium con circa 15 proof-of-concept per vulnerabilità zero-day. Entro il 2 luglio il conteggio superava i 30 exploit; al 22 luglio LevelBlue SpiderLabs ha documentato 204 file distribuiti in 35 cartelle progetto, con un ritmo di espansione di due-tre nuovi progetti a settimana. Nessun vendor è stato contattato in anticipo.

Il meccanismo di CVE-2026-55200 e il rischio transitivo

La vulnerabilità più documentata nel dossier risiede nella funzione ssh2_transport_read() di libssh2, dove un packet_length malformato innesca un out-of-bounds write con conseguente corruzione heap. Il National Vulnerability Database conferma che l'autenticazione non è prerequisito per lo sfruttamento: un server SSH malevolo può eseguire codice remoto su client vulnerabili prima che avvenga lo scambio di credenziali.

Il carico di impatto supera il perimetro diretto di libssh2. System Two Security ha verificato che la libreria è dipendenza transitiva di curl, Git e PHP, componenti presenti in pipeline CI/CD, ambienti di sviluppo e sistemi di produzione spesso non tracciati nelle scansioni di superficie d'attacco. L'NVD registra il commit di correzione in mainline, sebbene il dossier segnali un conflitto non risolto tra due hash parzialmente sovrapposti (7acf3df e 97acf3d).

Da archivio personale a infrastruttura collaborativa

L'evoluzione temporale è misurabile. La prima pubblicazione del 27 giugno conteneva circa 15 exploit secondo Infosecurity Magazine, che ha intervistato bikini su Discord. Al 2 luglio il ricercatore confermava "over 30" proof-of-concept. LevelBlue SpiderLabs, analizzando il repository al 22 luglio, ha contato 204 file in 35 cartelle progetto con un ritmo di crescita di due-tre cartelle settimanali nella prima metà di luglio.

La trasformazione qualitativa è altrettanto rilevante. Il repository ha iniziato ad accettare contributi esterni: la pull request #4 di un utente "Unrealisedd" ha introdotto nuove vulnerabilità in driver kernel Windows. Il maintainer ha inoltre retroattivamente accreditato lavoro esterno su objdump. Parallelamente, LevelBlue ha rilevato l'accoppiamento con un toolkit general-purpose di code obfuscation, elemento che complica il triage per i difensori.

AI-assisted fuzzing e la compressione del ciclo di ricerca

Bikini dichiara di aver automatizzato il processo di fuzzing tramite modelli AI di OpenAI, con riferimenti a GPT-5.5 Codex e successiva revisione a GPT-5.3. La distinzione operativa è precisa: l'AI ha generato input per il fuzzing, mentre i proof-of-concept sono stati scritti manualmente dal ricercatore. La barriera all'ingresso si abbassa non per la generazione automatica di exploit funzionanti, ma per l'accelerazione della fase di identificazione dei crash rilevanti.

La metodologia ha prodotto, secondo Infosecurity Magazine, 12 CVE aggiuntivi oltre a CVE-2026-55200 e CVE-2026-20896. La fonte non elenca tutti gli identificatori, ma conferma che l'assegnazione è avvenuta successivamente alla pubblicazione pubblica. Il modello di coordinated vulnerability disclosure, basato su notifica privata e embargo coordinato, non è stato applicato in nessun caso documentato dal dossier.

"I just came to the understanding that open disclosure is better for everyone in 99% of circumstances" — bikini, via Discord a Infosecurity Magazine

L'assenza di CVD e il dibattito sulla divulgazione

Il README del repository afferma esplicitamente che nessuna delle vulnerabilità è stata segnalata ai vendor prima della pubblicazione. Bikini ha motivato la scelta con l'intento didattico: "I think it's the best way for people to learn and become allured into the field. It's a lot less interesting and informative if someone has to read a write up that's not applicable by today's security standards." Il disclaimer anti-uso malevolo ("Cybercrime is cringe") è presente, ma il ricercatore ha risposto con scetticismo a domande sulla sua efficacia: "Of course not. The disclaimer might help, but at the end of the day, they have the free will to make their own choices."

Ethan Andrews, analista di Federal Signal Corporation, ha creato 44 regole KQL per Microsoft Sentinel e Defender XDR. La sua valutazione cattura la tensione del caso: "shows a meaningfully different intent than a coordinated offensive toolkit release, but a risky decision at the same time, especially with no vendor coordination." LevelBlue SpiderLabs ha definito Exploitarium "not a discrete incident with a start and end date but an ongoing infrastructure likely to keep generating both genuine findings and triage overhead."

Cosa fare adesso

Le fonti citate suggeriscono azioni prioritarie per i team di sicurezza:

• Verificare la reachability di libssh2 nelle proprie dipendenze transitive, con attenzione specifica a pipeline CI/CD, strumenti di versioning e ambienti di sviluppo che incorporano curl, Git o PHP.
• Monitorare l'espansione del repository Exploitarium e dei contributi esterni, dato il ritmo documentato di crescita e l'accettazione di pull request non verificate.
• Prioritizzare il triage su CVE-2026-55200 e CVE-2026-20896 sulla base del blast radius transitivo piuttosto che della visibilità mediatica, dato che entrambe le vulnerabilità sono attivamente sfruttate secondo fonti indipendenti.
• Valutare l'adozione delle regole di rilevamento pubblicate da Ethan Andrews per piattaforme Microsoft, disponibili per Sentinel e Defender XDR.

Il dossier non specifica misure correttive generalizzabili per le altre vulnerabilità del repository, né documenta l'esistenza di patch per tutti i 35 progetti elencati. La natura non coordinata della divulgazione impedisce la costruzione di una timeline affidabile di rilascio fix.

Perché il modello di disclosure non regge più

Exploitarium non è un leak isolato né una campagna di un gruppo threat attore. È un'infrastruttura che trasforma la ricerca vulnerabilità in fenomeno di supply chain continuo, dove la velocità di generazione dei flaw supera la capacità di patch dei maintainer open-source. L'uso di AI per il fuzzing comprime ulteriormente il ciclo, mentre la struttura collaborativa del repository distribuisce la responsabilità editoriale tra più contributor non identificati.

Per i CISO, il caso impone uno spostamento metodologico: il triage non può più fondarsi sulla severità CVSS isolata, ma deve mappare il blast radius delle dipendenze transitive. Per il settore, il dibattito CVD versus full disclosure esce dalla sfera etica e diventa problema operativo. Quando un singolo ricercatore può sovraccaricare decine di progetti con exploit funzionanti prima che qualsiasi coordinazione sia tecnicamente possibile, il modello di divulgazione coordinata come lo si è inteso finora smette di scalare.

Fonti

• https://www.scworld.com/brief/anonymous-researcher-dumps-zero-day-exploits-for-multiple-software-products
• https://www.infosecurity-magazine.com/news/researcher-exploitarium-exploits/
• https://cybersecuritynews.com/researcher-dumps-0-day-exploit-files/
• https://www.darkreading.com/vulnerabilities-threats/microsoft-rogueplanet-zero-day-threat
• https://nvd.nist.gov/vuln/detail/CVE-2026-55200
• https://systemtwosecurity.com/share/inspiration/VNJMKFVM
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50656
• https://www.scworld.com/topic/vulnerability-management

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti