Exploitarium, il paradosso della velocità: exploit già patchabili ma pubblici

Il 27 giugno 2026 il ricercatore pseudonimo 'bikini' ha reso pubblico su GitHub il repository 'Exploitarium' con oltre 30 proof-of-concept per zero-day in progetti open-source, senza coordinamento preventivo con alcun maintainer. The Register, che ha segnalato per primo il repository, ha esplicitamente dichiarato di non aver verificato i claim di bikini sul funzionamento dei singoli PoC. Tra le vulnerabilità confermate, CVE-2026-55200 in libssh2 ha ricevuto una patch nel branch main il 12 giugno — quindici giorni prima del dump — ma la release stabile non era ancora disponibile. L'effetto immediato non è stato accelerare una correzione che già esisteva, ma rendere pubblici exploit funzionanti mentre i difensori mancavano ancora di un aggiornamento installabile.

Il metodo: fuzzing AI e disclosure aperta come posizione dichiarata

In un'intervista esclusiva a Infosecurity Magazine, bikini ha spiegato il proprio approccio. "I think it's the best way for people to learn and become allured into the field", ha dichiarato, difendendo la divulgazione aperta come strumento formativo. La frase chiave del suo ragionamento è nell'evidenza diretta: "I just came to the understanding that open disclosure is better for everyone in 99% of circumstances".

Il ricercatore ha precisato il ruolo dell'intelligenza artificiale: l'intero processo di fuzzing è stato automatizzato con GPT-5.3, mentre i PoC sono stati scritti a mano. "None of the actual PoCs themselves were vibe-coded; I did, in fact, hand-type them", si legge nel README originale del repository, ora rimosso da GitHub ma circolato tramite archive. Il dettaglio separa la fase di discovery, resa scalabile dall'AI, dalla fase di pubblicazione dei PoC, che bikini rivendica come propria.

La non-notifica ai maintainer è confermata dallo stesso interessato. "I did not inform any of the maintainers of the publication", ha risposto a Infosecurity Magazine. La scelta esclude di fatto qualsiasi finestra di embargo per il patching coordinato, un punto che il caso CVE-2026-55200 rende particolarmente controproducente.

La vulnerabilità libssh2: patch esistente, exploit pubblico, release assente

CVE-2026-55200 è una pre-authentication RCE in libssh2 con CVSS 9.2 secondo il record NVD, che assegna il vettore AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H. La vulnerabilità è stata scoperta indipendentemente da Tristan Madani, ricercatore che l'ha divulgata tramite VulnCheck con un percorso di disclosure coordinato.

La pull request #2052 con il fix è stata integrata nel branch main il 12 giugno 2026, con commit 97acf3d su GitHub. La data è certificata dal repository ufficiale del progetto. Quando bikini ha pubblicato Exploitarium il 27 giugno, il codice corretto esisteva già. Secondo FONTE 9, non è confermato che la patch sia in release stabile. Gli utenti di produzione non avevano ancora un pacchetto aggiornato da installare.

La disclosure aperta non ha accelerato un fix che già esisteva, ha invece allargato la popolazione di attori in grado di sfruttare la vulnerabilità mentre chi doveva proteggere sistemi reali rimaneva senza strumenti praticabili. La finestra di esposizione, per i difensori, si è compressa nel senso sbagliato.

"The most technically significant findings — libssh2 pre-auth heap write and Gitea default Docker auth bypass — have been independently verified as high-risk with active exploitation observed" — Ethan Andrews, Federal Signal Corporation

Il container escape Gitea e la verifica indipendente

La seconda vulnerabilità di rilievo è CVE-2026-58053 nel componente act_runner di Gitea. Il record NVD descrive un container escape: il sistema passa il parametro workflow container.options direttamente a Docker job container HostConfig, permettendo l'escape verso l'host con privilegi di root. Il vettore CVSS 4.0 è AV:N/AC:L/AT:N/PR:L. Il record è stato ricevuto da VulnCheck il 27 giugno 2026, lo stesso giorno del dump Exploitarium.

Ethan Andrews di Federal Signal ha verificato indipendentemente entrambe le vulnerabilità principali. Oltre alla conferma tecnica, ha riportato exploitation attiva per CVE-2026-55200 e pubblicato 44 regole KQL per piattaforme Microsoft di detection. La fonte non quantifica l'estensione dell'exploitation né ne descrive la distribuzione geografica o settoriale.

Il record NVD per CVE-2026-55200 mostra un'indicazione SSVC del CISA-ADP che classifica lo stato di exploitation come 'poc', non come 'active'. La discrepanza con la dicitura 'active exploitation observed' di Andrews riflette criteri o tempistiche di rilevazione diverse: CISA-ADP documenta la prova di concetto disponibile, mentre Andrews segnala osservazione di exploitation nel campo. Le due fonti non si contraddicono necessariamente, ma usano scale di evidenza diverse.

Cosa fare adesso

Per le organizzazioni che gestiscono infrastrutture con libssh2 o Gitea, le azioni immediatamente indicabili si ricavano dai fatti documentati:

• Applicare le 44 regole KQL pubblicate da Ethan Andrews per Microsoft Sentinel e Defender, focalizzate su CVE-2026-55200.
• Monitorare il repository libssh2 per la disponibilità della release stabile contenente la patch del 12 giugno 2026.
• Verificare la presenza di Gitea act_runner nelle proprie installazioni e valutare la restrizione dei permessi Docker dei workflow.
• Consultare i record NVD per CVE-2026-55200 e CVE-2026-58053 per aggiornamenti sui vettori di attacco e sulle condizioni di exploitabilità.

Il dossier non dettaglia gravità o exploitabilità specifica per gli altri CVE assegnati a Exploitarium. Le organizzazioni devono valutare caso per caso l'esposizione ai progetti open-source coinvolti, sulla base delle proprie scansioni d'inventario.

Il limite del paradosso

Il caso Exploitarium non è una vittoria della disclosure aperta né una semplice catastrofe. È un paradosso strutturale: la velocità di pubblicazione ha superato la velocità di distribuzione del fix già esistente, senza generare nuova protezione. bikini ha dimostrato che l'AI rende scalabile la discovery, ma la scalabilità non risolve il problema del coordinamento tra sviluppo e distribuzione.

La posizione del ricercatore è esplicita: "Of course not. The disclaimer might help, but at the end of the day, they have the free will to make their own choices". La risposta, data a Infosecurity Magazine sulla domanda se un disclaimer dissuada attori malevoli, chiude ogni ipotesi di responsabilità condivisa. Il paradosso resta: chi assume il costo della verifica e del patching quando la pubblicazione precede il rilascio coordinato?

Le fonti citate presentano aree di incertezza note. The Register non ha verificato il funzionamento dei singoli PoC. Il numero di 130+ PoC citato da SystemTwoSecurity non è corroborato da altre fonti, che indicano 30-40. Il modello AI esatto è stato corretto da bikini stesso da una designazione iniziale a GPT-5.3. La relazione tra Exploitarium e il precedente repository Nightmare Eclipse non è chiarita nel dossier.