「bikini」として知られるGitHubアカウントが、Exploitariumという名称で活動し、353535個のオープンソースプロジェクトを標的とした脆弱性概念実証(PoC)ファイルの大規模かつ拡大を続けるアーカイブを公開しました。
このリポジトリには204204204件の追跡対象ファイルが含まれており、これまでの報道で挙げられていたおよそ130130130件のPoCという数字を上回っています。最初の日付付きエントリーは2026年6月232323日に登場し、このアーカイブは6月272727日頃に広く注目を集めました。
責任ある開示プログラムとは異なり、このリポジトリは公開前に影響を受けるベンダーへ報告を行っていないと明言しています。
このやり方は、セキュリティチームにとって即座に課題となります。投稿の中には深刻かつ技術的に妥当なものも含まれる可能性がある一方で、影響の少ないクラッシュや自動ファジングによって生成された成果物にすぎないものも含まれる可能性があります。
とはいえ、PoCが公開されることで、パッチや勧告、緩和策が広く行き渡る前に、防御側と脅威アクターの双方が迅速な検証を行えるようになってしまいます。
このアーカイブは、当初の注目を集めた後も拡大を続けています。7月最初の週には、PostgreSQL、Redis、Nextcloud、Discourseに関する新しいフォルダーが追加されました。
現在このプロジェクトには、インフラ、開発者向けツール、Webアプリケーション、リモートアクセスソフトウェア、メディア処理ライブラリ、そしてネイティブなC/C++プロジェクトにまたがる脆弱性、あるいは脆弱性と主張される問題が含まれています。
Exploitariumは、その規模と継続性の点で、過去の大規模公開とは一線を画しています。Nightmare-Eclipseキャンペーンを含む2026年の以前の公開事例は、Windows関連の標的や単一ベンダーのエコシステムに集中していました。
一方Exploitariumは多様なオープンソースプロジェクトにまたがって展開されており、単発の公開イベントというよりも、共有の公開プラットフォームへと発展しつつあります。
最も注目すべきエントリーは、libssh2のバージョン1.11.11.11.11.11.1までに影響するCVE-2026-55200です。
この問題は、SSHパケットのpacket_lengthフィールドに対する検証が不十分なことに起因する、ssh2_transport_read()関数内の範囲外書き込み(out-of-bounds write)です。
攻撃者は、認証前に特別に細工したSSHパケットを送信できます。脆弱なコードはサイズ計算を十分な幅を持たない値で行っているため、過大なパケット長がラップアラウンド(桁あふれ)を起こす可能性があります。
その結果、過小なヒープ領域が確保された後、そのバッファ境界を超えて書き込みが行われる恐れがあります。
アップストリームのメンテナーはコミット97acf3dでこの欠陥に対処し、確保処理が実行される前にLIBSSH2_PACKET_MAXPAYLOADを超えるpacket_length値を拒否するようにしました。組織はこの修正を含むlibssh2のリリースへアップデートするべきです。
この懸念は、libssh2を直接利用している環境にとどまりません。このライブラリは、curl、Git、PHPビルド、CI/CDシステム、コンテナイメージ、ベンダー提供パッケージなど、広く使われているツールやビルド環境に依存関係として含まれることがあります。
セキュリティチームは、直接的および間接的なlibssh2依存関係の両方を特定するためにソフトウェア構成分析(SCA)を利用するべきだとlevelblueは述べています
Exploitariumはこの問題に対するPoCを公開したものの、このCVEはVulnCheckの協調プロセスを通じて正式に開示されたものであり、その功績は研究者Tristan Madani氏に帰属するとされています。
この違いは重要です。あるリポジトリが脆弱性に関連する内容を再現・公開しているからといって、それが必ずしも当初の発見者や協調開示の報告者であるとは限らないのです。
ANY.RUNを使ってSOC調査の死角を減らし、脅威をより早期に封じ込めることで、対応コストと事業への支障を軽減しましょう。
翻訳元: https://cyberpress.org/exploitarium-releases-204-zero-days/
