Un chercheur anonyme publie du code d’exploitation pour plusieurs failles zero-day

Un chercheur anonyme utilisant le pseudonyme bikini a publié un dépôt GitHub contenant du code d’exploitation de preuve de concept et des analyses de prétendues vulnérabilités zero-day affectant 15 produits et projets open source. Le dépôt, baptisé exploitarium, a depuis été supprimé, mais pas avant d’avoir attiré l’attention des équipes de sécurité et d’autres chercheurs.

Selon plusieurs rapports, au moins deux des failles mentionnées dans la fuite font déjà l’objet d’une exploitation active. La première est CVE-2026-55200, une faille critique d’exécution de code à distance pré-authentification dans libssh2, la bibliothèque C côté client utilisée pour implémenter SSH2. La vulnérabilité implique des paquets SSH spécialement conçus avec des valeurs packet_length excessivement élevées, susceptibles de corrompre la mémoire du tas et de permettre l’exécution de code à distance. Les mainteneurs ont intégré un correctif dans la branche principale de développement, mais une version contenant ce correctif n’a pas encore été publiée.

La seconde faille est CVE-2026-58053, qui affecte Gitea act_runner sur le backend Docker. Les chercheurs en sécurité la décrivent comme un problème de contrôle des privilèges pouvant conduire à une évasion de conteneur avec des privilèges root.

Périmètre du dépôt

Le dépôt aurait inclus du contenu lié à plusieurs outils et services largement utilisés, notamment :

• libssh2
• Splunk
• RustDesk
• 7-Zip
• VLC
• AnyDesk
• OpenVPN
• c-ares
• Gitea
• Floci

Le chercheur a affirmé que les vulnérabilités n’avaient pas été signalées auparavant et a encouragé d’autres personnes à soumettre leurs découvertes et à en revendiquer la paternité si des CVE leur étaient attribuées. Ces affirmations n’ont pas été vérifiées de manière indépendante. Des observateurs du secteur de la sécurité ont également relevé qu’une partie du contenu pourrait avoir été générée ou assistée par des outils d’IA avancés, bien que cela reste également non confirmé.

Après l’apparition du dépôt, d’autres analystes ont commencé à élaborer des règles de détection et des recommandations de surveillance à partir des preuves de concept divulguées. Malgré la suppression du dépôt par GitHub, l’affaire devrait continuer à circuler parmi les attaquants et les défenseurs, car le code d’exploitation et les détails des vulnérabilités réapparaissent souvent après leur suppression.