Một người dùng GitHub ẩn danh đã âm thầm tổng hợp một trong những bộ sưu tập mã khai thác gây gián đoạn nhất trong năm, công bố 204 tệp Proof-of-Concept (PoC) cho hàng chục dự án mã nguồn mở trước khi các nhà cung cấp kịp thời vá chúng. Sự xuất hiện của các lỗ hổng zero-day này đặt ra thách thức lớn cho cộng đồng an ninh mạng toàn cầu.
Kho lưu trữ này, được đặt tên là “exploitarium” bởi một nhà nghiên cứu sử dụng biệt danh “bikini”, đã đảo ngược quy trình công bố phối hợp bằng cách phát hành mã khai thác trước tiên. Điều này buộc các nhà cung cấp và đội ngũ bảo vệ phải chạy đua để khắc phục công khai, loại bỏ khoảng thời gian bảo vệ truyền thống.
Hiện tượng Exploitarium và Tác động đến An ninh mạng
Những gì ban đầu được coi là một sự kiện ngắn hạn đã nhanh chóng phát triển thành một kho lưu trữ ngày càng mở rộng. Kho này liên tục bổ sung các dự án mới bị ảnh hưởng bởi lỗ hổng zero-day mỗi tuần.
Tài liệu của LevelBlue SpiderLabs chỉ ra rằng phương pháp này đặt mã khai thác vào tay cả kẻ tấn công và người phòng thủ cùng một lúc. Điều này xóa bỏ khoảng thời gian an toàn mà các quy trình công bố phối hợp thông thường được thiết kế để cung cấp.
Thời gian biểu và Sự mở rộng
Kho lưu trữ exploitarium bắt đầu hình thành vào cuối tháng 6 năm 2026, với các mục nhập được ghi ngày từ ngày 23 tháng 6. Một đợt công bố công khai lớn đầu tiên đã thu hút lượng truy cập đáng kể vào khoảng ngày 27 tháng 6.
Khi các vấn đề và yêu cầu kéo (pull requests) chất đống, tài liệu README của kho lưu trữ đã nêu rõ rằng không có phát hiện nào được báo cáo trước cho các nhà cung cung cấp bị ảnh hưởng. Điều này khuyến khích những người khác tự mình công bố để nhận tín dụng.
Sau đợt chú ý ban đầu đó, dự án vẫn tiếp tục mở rộng. Trong khi hầu hết các tin tức công khai đã chuyển hướng, kho lưu trữ vẫn tiếp tục hoạt động tích cực.
LevelBlue đã chia sẻ trong một báo cáo rằng các thư mục mới đã được thêm vào với tốc độ ổn định, khoảng hai đến ba mục mỗi tuần. Các bổ sung gần đây bao gồm các nền tảng được triển khai rộng rãi như PostgreSQL, Redis, Nextcloud và Discourse chỉ trong tuần đầu tiên của tháng 7.
Phạm vi tấn công và Rủi ro chuỗi cung ứng
Số lượng 204 tệp PoC trong 35 thư mục dự án, theo LevelBlue SpiderLabs, cho thấy mức độ nghiên cứu được tích hợp vào kho lưu trữ. Con số này cao hơn đáng kể so với con số 130 PoC được trích dẫn trong các báo cáo ban đầu.
Bề mặt tấn công được phơi bày bởi các PoC này trải rộng hơn nhiều so với một ngăn xếp hoặc nhà cung cấp duy nhất. Các mã nguồn gốc C và C++, driver kernel, logic ứng dụng web, công cụ truy cập từ xa như AnyDesk và RustDesk, cùng với các hạ tầng cốt lõi như Nmap và curl đều xuất hiện trong danh mục này.
Sự đa dạng này biến sự việc thành một vấn đề chuỗi cung ứng, không chỉ là một câu chuyện về lỗ hổng đơn lẻ. Nhiều tổ chức có thể kế thừa các thư viện có thể khai thác như các phụ thuộc bắc cầu mà không nhận ra sự hiện diện của chúng, làm tăng rủi ro bảo mật.
Việc công bố ẩn danh này phù hợp chặt chẽ với một mô hình mà LevelBlue đã ghi nhận trước đó trong chiến dịch Nightmare-Eclipse, nhưng với phạm vi rộng hơn và có hệ thống hơn trong các hệ sinh thái mã nguồn mở.
Trong khi Nightmare-Eclipse tập trung vào một nhà cung cấp và các thành phần nội bộ của Windows, exploitarium lại đẩy mạnh việc công bố hàng loạt vào các công cụ phát triển, dịch vụ sẵn sàng cho đám mây, nền tảng container và các diễn đàn cộng đồng. Đây là một mối đe dọa mạng đáng kể.
Đối với những người đã theo dõi thông tin trước đây về khai thác Windows Defender, các bài viết RoguePlanet về khai thác 0-Day mới của Windows Defender và việc vá lỗi Defender RoguePlanet cho thấy việc công bố không phối hợp có thể nhanh chóng chuyển thành rủi ro hoạt động phức tạp như thế nào.
Điểm nổi bật: CVE-2026-55200 trong libssh2
Không phải mọi thư mục trong exploitarium đều có cùng trọng lượng. Đánh giá của LevelBlue nhấn mạnh rằng các đội ngũ bảo vệ nên tránh xem toàn bộ kho lưu trữ là có mức độ nghiêm trọng đồng nhất. Nhiều mục trông giống như các lỗi có tác động thấp từ các lần chạy fuzzing tự động.
Tuy nhiên, một số khác lại ghi lại các lỗ hổng nghiêm trọng, có thể kích hoạt trước xác thực trong các thành phần được nhúng rộng rãi. Đây là những lỗ hổng CVE đặc biệt nguy hiểm.
Chi tiết kỹ thuật về CVE-2026-55200
Một ví dụ nổi bật là CVE-2026-55200 trong libssh2. Đây là một lỗi ghi ngoài giới hạn (out-of-bounds write) trong hàm ssh2_transport_read có thể được kích hoạt trước khi bất kỳ xác thực SSH nào hoàn tất. Lỗ hổng này có khả năng cho phép thực thi mã từ xa (Remote Code Execution – RCE) chống lại các client dễ bị tấn công.
Trường hợp libssh2 cũng minh họa sự chồng chéo phức tạp giữa công bố phối hợp và không phối hợp. Trong khi exploitarium bao gồm một PoC libssh2 ngay từ ngày đầu tiên, tín dụng CVE chính thức đã thuộc về nhà nghiên cứu Tristan Madani thông qua các kênh báo cáo thông thường của VulnCheck. Điều này có nghĩa là cùng một lỗi cơ bản đã xuất hiện thông qua cả hai con đường công bố có trách nhiệm và công bố hàng loạt.
Đối với các nhà phòng thủ, chi tiết đó ít quan trọng hơn so với kết quả thực tế. Điều cần làm là theo dõi bản vá upstream, di chuyển sang phiên bản đã tích hợp commit 97acf3d và coi dấu chân bắc cầu rộng lớn của lỗ hổng là ưu tiên hàng đầu, bất kể việc khai thác đã được xác nhận hay chưa.
Sự phát triển của Exploitarium và Tác động cộng đồng
Theo thời gian, exploitarium đã chuyển từ một kho lưu trữ cá nhân thành một trung tâm thông tin được kiểm duyệt nhẹ nhàng, chấp nhận nghiên cứu từ bên ngoài. Điều này cho thấy tính chất động của nguồn tài nguyên này, nơi các lỗ hổng zero-day mới có thể được thêm vào liên tục.
LevelBlue chỉ ra các đóng góp như Pull Request 4 từ người dùng “Unrealisedd”, người đã giới thiệu các vấn đề driver kernel Windows mới trong thành phần ovpn-dco-win của OpenVPN, cùng với các biện pháp khắc phục được đề xuất.
Người bảo trì kho lưu trữ cũng đã ghi nhận công việc bên ngoài liên quan đến objdump một cách truy hồi. Họ thừa nhận rằng một nhà nghiên cứu khác đã công bố một PoC đầy đủ hơn một cách riêng biệt trước khi phát hiện này được tích hợp vào kho lưu trữ.
Đối với các tổ chức lo ngại về nguồn gốc, sự pha trộn giữa xác minh cây Git cẩn thận và kiểm tra người đóng góp không chính thức có nghĩa là exploitarium hiện khuếch đại mã chưa được kiểm định. Tuy nhiên, nó lại có độ tin cậy ngầm từ bộ sưu tập ngày càng tăng của mình, tạo ra một nguy cơ bảo mật tiềm ẩn.
Khuyến nghị cho đội ngũ bảo mật
Hướng dẫn của LevelBlue dành cho các đội ngũ bảo mật và phát hiện tập trung vào việc ưu tiên thực dụng dưới áp lực. Hãy vá lỗi trước và xếp hạng các mục theo khả năng tiếp cận và phạm vi ảnh hưởng, không chỉ dựa vào sự chú ý của truyền thông hoặc tính mới lạ của PoC. Điều này giúp tối ưu hóa công tác vá lỗi bảo mật.
Họ khuyến nghị chạy phân tích thành phần phần mềm (Software Composition Analysis – SCA) trên các pipeline xây dựng, image container và các thư viện được đóng gói. Mục đích là để tìm các phụ thuộc libssh2 ẩn và các thành phần nhúng khác bị ảnh hưởng bởi kho lưu trữ exploitarium.
Song song đó, họ cũng nhấn mạnh các nỗ lực cộng đồng như dự án Exploitarium-Detections. Dự án này công bố các quy tắc KQL cho Microsoft Sentinel và Defender XDR để phát hiện hoạt động liên quan đến các lỗ hổng đã được công bố.
Đối với các tổ chức đã theo dõi các sự cố chuỗi cung ứng gần đây như cuộc tấn công bị xâm nhập của các gói Mastra npm, exploitarium nên được xem là một phần của xu hướng rộng lớn hơn. Đây là các kho lưu trữ nghiên cứu có thể ngay lập tức biến các lỗ hổng zero-day lý thuyết thành các bộ công cụ tấn công dễ tiếp cận.
Cái nhìn toàn diện về mối đe dọa chuỗi cung ứng
Báo cáo của LevelBlue nhấn mạnh rằng exploitarium “không phải là một sự cố rời rạc với ngày bắt đầu và kết thúc”. Ngược lại, đây là một cơ sở hạ tầng liên tục có khả năng tiếp tục tạo ra cả những phát hiện thực sự và gánh nặng xử lý sự cố. Điều này sẽ kéo dài chừng nào nó còn được duy trì.
Người bảo trì đã kết hợp kho lưu trữ với một bộ công cụ làm xáo trộn mã đa năng. Điều này nhấn mạnh rằng đây là một quy trình nghiên cứu tích cực, chứ không phải là một chiêu trò công bố một lần. Việc giám sát liên tục là yếu tố then chốt để duy trì an ninh mạng hiệu quả.
Đối với các đội ngũ điều hành, cách nhìn nhận khuyến nghị gần giống với việc phơi nhiễm chuỗi cung ứng dài hạn hơn là một lỗ hổng đơn lẻ. Điều này đòi hỏi phải giám sát liên tục, áp dụng bản vá nhanh chóng và đánh giá lại liên tục các thành phần mã nguồn mở được đóng gói âm thầm vào các khối lượng công việc quan trọng.
Thông tin chi tiết hơn có thể được tìm thấy trong báo cáo của LevelBlue SpiderLabs.
