匿名研究员一口气抛出204个0-day！开源软件供应链再遭“零日大甩卖”

原创

时时安全
时时安全

时时安全

2026年7月25日 09:53
上海

在小说阅读器读本章

去阅读

匿名研究员一口气抛出204个0-day！开源软件供应链再遭“零日大甩卖”

2026年6月底，一位化名“bikini”的匿名研究员在GitHub上悄然上线了一个名为Exploitarium的仓库。短短几天内，它从默默无闻到引发安全圈震动——仓库中直接公开了204个零日漏洞的PoC文件，覆盖35个开源项目与常用组件，且事先完全没有向任何厂商或维护者报告。

这不是一次普通的漏洞披露，而是一次把“协调披露”规则彻底颠倒的行动：漏洞代码先公之于众，厂商和防守方再被迫在公开场合追赶。

从个人归档到持续扩张的“漏洞集市”

Exploitarium的早期条目可追溯至2026年6月23日，大规模曝光集中在6月27日前后。最初外界报道约130个PoC，但根据LevelBlue SpiderLabs后续跟踪，目前已统计到35个项目文件夹、204个文件，并且仍以每周2-3个新文件夹的速度持续更新。

仓库README明确声明：这些发现均未提前报告厂商，并鼓励其他人自行去申报CVE、领取credit。随后仓库还开始接受外部贡献（例如针对OpenVPN Windows内核驱动的PR），从一个个人归档逐渐演变成半开放的漏洞收集与分享平台。

受影响范围极广，几乎覆盖开源生态的各个层面：

基础设施与库：libssh2、curl、Nmap、c-ares、objdump等
数据库与缓存：PostgreSQL、Redis
协作与云服务：Nextcloud、Discourse、Gitea
远程桌面与工具：AnyDesk、RustDesk、OpenVPN
其他：7-Zip、VLC等

这直接把问题从“某个软件有漏洞”升级成了供应链风险——很多组织可能通过传递依赖、容器镜像或第三方组件，在不知情的情况下引入了这些可被利用的代码。

最受关注的漏洞：libssh2预认证RCE

在众多条目中，CVE-2026-55200（libssh2）最为突出。

这是一个存在于ssh2\_transport\_read函数中的越界写问题，可在完成SSH认证之前被触发，理论上可导致远程代码执行。漏洞影响libssh2至1.11.1版本，官方已通过相关commit修复。有意思的是，虽然Exploitarium很早就包含了对应PoC，但正式CVE credit最终归给了通过正规渠道报告的研究员Tristan Madani（VulnCheck）。

这说明同一缺陷可能同时出现在“协调披露”与“公开甩卖”两条路径上。对防守方来说，谁先发现并不重要，尽快升级到包含修复的版本才是关键。

其他文件夹中也有高价值与低价值之分。LevelBlue提醒：并非所有条目都是高危可利用漏洞，部分更像自动化模糊测试产生的低影响产物。真正需要优先处理的是那些预认证、高可达性、广泛嵌入的组件。

仓库链接获取

关注回复：：ck0day-poc