Il 27 giugno 2026 il ricercatore pseudonimo "bikini" ha pubblicato su GitHub il repository "Exploitarium" con oltre 30 proof-of-concept exploit per vulnerabilità zero-day in progetti open-source. Non ha coordinato con alcun maintainer. Tra questi, CVE-2026-55200 nel componente libssh2 presenta un punteggio CVSS 9.2, è pre-authentication RCE e risulta già in exploitazione attiva secondo rilevamenti indipendenti. L'evento riapre la frattura sulla responsabilità della disclosure nella comunità della sicurezza informatica.
- Il repository Exploitarium contiene oltre 30 PoC zero-day per progetti open-source come libssh2, FFmpeg, Gitea, 7-Zip, PHP, OpenVPN, VLC, RustDesk, Nmap e altri, pubblicati il 27 giugno 2026 senza coordinamento CVD.
- CVE-2026-55200 in libssh2 è una vulnerabilità pre-authentication RCE con CVSS 9.2, che secondo il detection engineer Ethan Andrews è in exploitazione attiva e indipendentemente verificata.
- Il ricercatore ha automatizzato il processo di fuzzing tramite modelli OpenAI, ma ha specificato di aver digitato manualmente ("hand-typed") i singoli exploit, non di averli generati automaticamente.
- La motivazione dichiarata è il reclutamento nel campo della sicurezza: la pubblicazione immediata abbassa le barriere all'ingresso e rende il materiale più applicabile rispetto ai write-up tradizionali.
Il metodo: fuzzing AI-assisted, exploit manuale
Il ricercatore ha dichiarato di aver automatizzato l'intero processo di fuzzing utilizzando modelli OpenAI, specificamente GPT-5.3. Inizialmente aveva indicato il modello come GPT-5.5-3-Codex-Spark. L'intelligenza artificiale è stata impiegata nella fase di scoperta, non nella redazione dei PoC. "None of the actual PoCs themselves were vibe-coded; I did, in fact, hand-type them", ha scritto bikini nel repository.
Il messaggio nel README del repository è esplicito: "You do NOT need a SOTA model to help you identify these issues, I promise!". La scelta di modelli non all'avanguardia, combinata con la manualità nella stesura degli exploit, definisce un profilo ibrido che distingue la fase di ricerca da quella di pubblicazione.
Heise riporta "nearly two dozen" vulnerabilità, una cifra leggermente inferiore rispetto alla decina successiva di exploit aggiunti nel repository. Il numero è cresciuto nei giorni successivi al lancio: partito da circa 15 exploit, il repository ha superato la soglia dei 30. Questa dinamicità rende impossibile stabilire un totale definitivo al momento della stesura.
CVE-2026-55200: il caso più grave e la sua catena di dipendenze
Il record CVE-2026-55200 nel database NVD identifica una vulnerabilità out-of-bounds write nella funzione ssh2_transport_read() di libssh2, con versioni affette fino alla 1.11.1 inclusa. Il vettore di attacco descritto nelle fonti prevede l'invio di pacchetti SSH con valori packet_length sovradimensionati per manipolare la memoria heap.
La gravità della falla risiede nella combinazione di tre elementi: pre-autenticazione, esecuzione remota di codice e exploitazione attiva confermata. Ethan Andrews, cybersecurity analyst e detection engineer presso Federal Signal Corporation, ha verificato indipendentemente la vulnerabilità e ha confermato lo stato di exploitazione attiva. Secondo Infosecurity Magazine, Andrews la definisce "la vulnerabilità più grave emersa dal repository e quella in exploitazione attiva".
La patch esiste nel mainline branch di libssh2 (commit 7acf3df), ma i maintainer stavano ancora finalizzando il rilascio formale al momento delle fonti. Il ritardo tra fix in branch e release ufficiale espone tutte le distribuzioni che non applichino manualmente la correzione. La dipendenza transitiva amplifica il problema: libssh2 è utilizzata da curl, Git e PHP, estendendo la superficie di attacco oltre il componente diretto.
Il no alla CVD: reclutamento o irresponsabilità
Bikini ha confermato via Discord a Infosecurity Magazine di non aver informato alcun maintener prima della pubblicazione. La mancata CVD è intenzionale. "I think it's the best way for people to learn and become allured into the field", ha dichiarato. Il ricercatore aggiunge che "open disclosure is better for everyone in 99% of circumstances" e che i write-up tradizionali "raise the barrier to entry making someone go back and install outdated software to test on".
"Of course not. The disclaimer might help, but at the end of the day, they have the free will to make their own choices" — bikini, risposta a chi chiedeva se il disclaimer nel repository fosse deterrente sufficiente
Il disclaimer nel repository recita: "Do NOT, under any circumstances, use any material in this repository maliciously. This is good-faith, open-disclosure vulnerability research intended to get more people interested in exploring this area of cybersecurity. Cybercrime is cringe". La domanda se questo avvertimento costituisca una salvaguardia effettiva ha ricevuto risposta negativa dal ricercatore stesso, che delega alla "free will" degli utenti la responsabilità d'uso.
Ethan Andrews distingue l'intenzione dal rischio: "It shows a meaningfully different intent than a coordinated offensive toolkit release, but a risky decision at the same time, especially with no vendor coordination". Patrick Garrity, vulnerability researcher presso VulnCheck, ha espresso preoccupazione e ha dichiarato: "We strongly encourage a coordinated approach". VulnCheck non ha approvato il metodo, pur avendo ricevuto separatamente la segnalazione di CVE-2026-55200 da Tristan Madani.
La comunità divisa: exploitazione attiva versus apprendimento
L'impatto concreto del repository si misura su due livelli. Il primo è tecnico: CVE-2026-55200 è in exploitazione attiva, e 12 ulteriori vulnerabilità nel repository hanno ricevuto identificatori CVE (da CVE-2026-58049 a CVE-2026-58058, CVE-2026-58592, CVE-2026-58593). Il secondo è culturale: la pubblicazione ha generato un confronto con "Nightmare Eclipse", ricercatore che a maggio 2026 aveva rilasciato exploit Microsoft zero-day senza coordinamento.
Alcune issue segnalate nel repository sono state "dismissed as low impact noise" dalla community, secondo Infosecurity Magazine. Questo suggerisce una variabilità di qualità e gravità all'interno della raccolta, che non può essere trattata come omogenea. Solo CVE-2026-55200 ha raggiunto la soglia critica con exploitazione attiva documentata.
Andrews ha rilasciato 44 regole di rilevamento KQL su Detections.ai e GitHub, fornendo strumenti concreti ai team di sicurezza. SystemTwoSecurity, nel suo report datato 10 luglio 2026, conferma CVE-2026-55200 come pre-auth RCE e menziona CVE-2026-20896 in Gitea, con mapping MITRE ATT&CK e indicatori di exploitazione attiva. La fonte vendor non verifica invece indipendentemente il numero "130 0-Days Dropped" riportato nel titolo di una terza parte citata.
Cosa fare adesso
I team di sicurezza devono affrontare la situazione con azioni prioritarie e specifiche.
Monitorare il repository Exploitarium su GitHub per nuovi aggiunti e aggiornamenti, dato che il numero di exploit è in crescita e non stabilizzato.
Applicare il commit 7acf3df nel mainline branch di libssh2 per CVE-2026-55200, in attesa del rilascio formale della patch, valutando la compilazione manuale nelle distribuzioni che non ricevano aggiornamenti automatici.
Implementare le 44 regole KQL di rilevamento pubblicate da Ethan Andrews su Detections.ai e GitHub per identificare tentativi di exploitazione attiva nella propria infrastruttura.
Verificare la presenza transitiva di libssh2 nelle dipendenze di curl, Git, PHP e altri componenti che potrebbero esporre la vulnerabilità senza essere direttamente elencati nei sistemi di inventario software.
Il brief non specifica misure correttive per le altre vulnerabilità del repository, la cui disponibilità di patch risulta in gran parte sconosciuta al momento della stesura.
L'identità reale del ricercatore, il numero esatto totale di vulnerabilità al momento attuale, la quantificazione dell'exploitazione attiva di CVE-2026-55200 e lo status di patch dei progetti affetti oltre libssh2 non risultano documentati nelle fonti disponibili.
Fonti
- https://www.infosecurity-magazine.com/news/researcher-exploitarium-exploits/
- https://iototsecnews.jp/2026/07/02/researcher-behind-exploitarium-explains-release-of-undisclosed-zero-day-exploits/
- https://www.heise.de/en/news/Exploitarium-Anonymous-security-researcher-publishes-two-dozen-zero-days-11350105.html
- https://nvd.nist.gov/vuln/detail/CVE-2026-55200
- https://systemtwosecurity.com/share/inspiration/VNJMKFVM
- https://www.infosecurityeurope.com/en-gb/blog/guides-checklists/how-to-disclose-software-vulnerability.html
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.