Nghiên cứu viên ẩn danh công bố mã khai thác 0-day trên repo “exploitarium”
"An anonymous researcher published a removed GitHub repository, 'exploitarium,' containing alleged working exploit code and write-ups for zero-day vulnerabilities across multiple products and open source projects. Two issues are highlighted as already under active attack: CVE-2026-55200, a critical pre-authentication RCE in libssh2, and CVE-2026-20896, a critical authentication bypass in self-hosted Gitea Docker deployments; the libssh2 fix is merged but unreleased, while Gitea 1.26.3 contains the patch."
Nguy cơ cao do có RCE tiền xác thực và bypass xác thực đã được ghi nhận đang bị khai thác; repo chứa mã PoC có thể giúp kẻ tấn công triển khai nhanh hơn. Điểm then chốt: CVE-2026-55200, CVE-2026-20896, và việc bản vá đang/đã có sẵn theo mốc phát hành.
Tác động vận hành đáng kể vì các hệ thống liên quan đến SSH/libssh2 và nền tảng Git tự host có thể bị ảnh hưởng trực tiếp, dẫn tới gián đoạn dịch vụ và rủi ro chiếm quyền. Điểm then chốt: Gitea Docker tự host có thể bị takeover, cần cập nhật lên Gitea 1.26.3 và kiểm soát phơi nhiễm.
Một nghiên cứu viên ẩn danh đã đăng (sau đó bị gỡ) một kho GitHub có tên exploitarium, được cho là chứa mã khai thác và bài viết kỹ thuật cho các lỗ hổng zero-day trên nhiều dự án phần mềm. Theo nội dung bài đăng, ít nhất hai lỗ hổng trong số đó đã bị khai thác trong thực tế.
Trường hợp thứ nhất là CVE-2026-55200, lỗ hổng RCE tiền xác thực trong libssh2. Kẻ tấn công từ xa có thể gửi các gói SSH được chế tạo với packet_length bất thường để gây hỏng bộ nhớ heap và dẫn tới thực thi mã từ xa. Bản vá đã được merge vào nhánh phát triển của libssh2 nhưng nhà phát triển vẫn đang chuẩn bị bản phát hành chính thức.
Trường hợp thứ hai là CVE-2026-20896, lỗ hổng bypass xác thực ảnh hưởng tới triển khai Gitea dạng Docker tự host, cho phép kẻ tấn công mạo danh người dùng và chiếm quyền hoàn toàn máy chủ Git. Lỗ hổng được khắc phục trong Gitea 1.26.3.
Khuyến nghị: rà soát hệ thống đang dùng libssh2 và Gitea (đặc biệt môi trường Docker tự host), ưu tiên cập nhật lên phiên bản có patch, đồng thời theo dõi dấu hiệu tấn công liên quan đến các hành vi khai thác tiền xác thực/bypass xác thực.