Exploitarium: Publicación Masiva de PoCs de Día Cero en 15 Proyectos de Código Abierto por Investigador Anónimo (2026)
Nombres Alternativos / Aliases
- Exploitarium Repository (Por el nombre del repositorio)
- Bikini Zero-Day Dump (Por el alias del investigador)
- AI-Assisted Vulnerability Disclosure (Por el método de descubrimiento)
- Open Source Zero-Day Exposure (Por la naturaleza de los hallazgos)
- Exploratorium Project (Por el nombre original de la colección)
Fecha de Detección / Actividad
- Fecha de publicación inicial: Semana del 22-26 de junio de 2026
- Actualización importante: 1 de julio de 2026 (nuevas incorporaciones)
- Fecha del informe: 1 de julio de 2026
- Número de CVE asignados: 10 (hasta el momento)
- Número de proyectos afectados: 15+
- Estado: Activo (el repositorio continúa recibiendo nuevas adiciones; el investigador promete una publicación diaria)
Actor de Amenaza / Investigador (Atribución)
| Característica | Detalle |
|---|---|
| Alias | Bikini |
| Contacto | Discord: @ashdfrkl
|
| Afiliación | Investigador de seguridad anónimo / "Ethical hacker" |
| Declaración de principios | "En ningún caso utilices ningún material de este repositorio con fines maliciosos. Esto es una investigación de vulnerabilidades de divulgación abierta de buena fe destinada a atraer a más personas a este campo de la ciberseguridad. El cibercrimen es ridículo." |
| Nivel de sofisticación | ALTO. El investigador demuestra: |
- Uso avanzado de fuzzing automatizado con IA (GPT-5.5-3-Codex-Spark)
- Conocimiento profundo de múltiples proyectos de código abierto
- Capacidad manual para escribir PoCs sin "vibe-coding"
- Publicación de informes detallados para cada vulnerabilidad
- Títulos académicos y publicaciones previas en fuzzing | | Motivación | Atraer nuevos investigadores al campo de la seguridad (100% divulgación) |
Resumen Ejecutivo
Un investigador de seguridad anónimo que opera bajo el seudónimo de Bikini ha publicado código de explotación de prueba de concepto (PoC) e informes detallados sobre más de una docena de vulnerabilidades de día cero en 15 proyectos populares de código abierto.
Las vulnerabilidades se publicaron sin notificar a ninguno de los proveedores, una decisión controvertida que ha generado un intenso debate en la comunidad de seguridad.
Proyectos afectados
| Proyecto | Tipo | CVEs asignados |
|---|---|---|
| Libssh2 | Biblioteca SSH | CVE-2026-58049, CVE-2026-58050 |
| FFmpeg | Framework multimedia | CVE-2026-58051 |
| MyBB | Foro de discusión | CVE-2026-58054 |
| Nmap | Escáner de red | CVE-2026-58058 |
| nghttp2 | Biblioteca HTTP/2 | CVE-2026-58055 |
| Gitea | Plataforma Git | CVE-2026-58053 |
| Flowise | Plataforma de IA | CVE-2026-58057 |
| RustDesk | Escritorio remoto | CVE-2026-58056 |
| Ghidra | Framework de reversing | — |
| OpenVPN | VPN | — |
| VLC | Reproductor multimedia | — |
| 7-Zip | Compresor de archivos | — |
| Anydesk | Escritorio remoto | — |
| PHP | Lenguaje de programación | — |
| Kernel de Linux | Sistema operativo | — |
El método de descubrimiento: Fuzzing con IA
"El investigador afirma haber utilizado el modelo de IA GPT-5.5-3-Codex-Spark de OpenAI para realizar pruebas de fuzzing en el código del proyecto y encontrar irregularidades que posteriormente confirmó mediante una revisión manual."
| Afirmación | Detalle |
|---|---|
| Modelo de IA | GPT-5.5-3-Codex-Spark de OpenAI |
| Uso de IA | Automatización del fuzzing con un "arnés estricto" |
| Escritura de PoCs | Manual (sin "vibe-coding") |
| Excepción | Usó IA para RustDesk (menos familiarizado con el lenguaje) |
| Documentación README | Reconocidamente generada por IA |
El investigador se defiende de las críticas
"No necesitas un modelo de última generación para identificar estos problemas, te lo aseguro. Si bien poder adquirir un modelo mejor es útil, mis datos parecen indicar que su impacto es mínimo cuando se combina con una supervisión humana adecuada y un buen arnés. Ninguna de las pruebas de concepto se programó automáticamente; de hecho, las escribí manualmente."
"Contrariamente a la narrativa creciente de que soy solo un niño al azar quemando tokens, SÍ tengo un título en la materia y he publicado múltiples artículos sobre metodología de fuzzing."
Vector de Ataque / Métodos de Distribución
Publicación y distribución
| Componente | Detalle |
|---|---|
| Plataforma | GitHub (repositorio bikini/exploitarium)
|
| Formato | Un repositorio consolidado con carpetas individuales por vulnerabilidad |
| Acceso | Público (3,100+ estrellas, 900+ forks en el momento del informe) |
| Suspensiones | El repositorio fue suspendido dos veces durante el fin de semana |
Estructura del repositorio
| Elemento | Descripción |
|---|---|
| Carpetas de PoC | Cada vulnerabilidad tiene su propia carpeta con PoC y write-up |
| README.md | Descripción general del repositorio |
| cves.md | Lista de CVEs asignados |
Proceso de consolidación
El investigador consolidó repositorios anteriores (12 repositorios, 96 entradas) en una sola ubicación, verificando la integridad mediante:
- Mismos paths relativos
- Mismos tipos de objeto Git
- Mismos modos de árbol (incluyendo bits ejecutables)
- Mismos IDs de blob Git
Promesas futuras
"Nuevas publicaciones hoy ;) Lo más grande hasta ahora (RETRASADO, ¡PROMETO QUE LA ESPERA VALDRÁ LA PENA! Después de esto, normalmente recibirán un nuevo PoC al día)"
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK) | Técnica / Subtécnica | Descripción / Implementación |
|---|---|---|
| Reconocimiento (TA0043) | Active Scanning (T1595) | Fuzzing de código fuente de proyectos de código abierto |
| Reconocimiento (TA0043) | Search Open Websites/Domains (T1593) | Análisis de repositorios públicos de GitHub |
| Reconocimiento (TA0043) | Search Victim-Owned Websites (T1594) | Análisis de software open-source |
| Initial Access (TA0001) | Exploit Public-Facing Application (T1190) | Las vulnerabilidades afectan aplicaciones expuestas |
| Execution (TA0002) | User Execution: Malicious File (T1204.002) | Los PoCs demuestran ejecución de código |
| Privilege Escalation (TA0004) | Exploitation for Privilege Escalation (T1068) | Varias vulnerabilidades permiten escalada (Gitea, MyBB, System Informer) |
| Defense Evasion (TA0005) | Exploitation for Defense Evasion (T1211) | Las vulnerabilidades pueden eludir mecanismos de seguridad |
| Collection (TA0009) | Data from Local System (T1005) | Las vulnerabilidades permiten acceso a datos locales |
Flujo de Ataque (Desarrollo y Publicación)
| Fase | Descripción |
|---|---|
| 1. Selección de objetivos | Identificación de proyectos de código abierto populares |
| 2. Fuzzing automatizado | Uso de GPT-5.5-3-Codex-Spark con "arnés estricto" para generar pruebas |
| 3. Revisión manual | Confirmación de hallazgos y determinación de explotabilidad |
| 4. Desarrollo de PoC | Escritura manual de código de explotación |
| 5. Documentación | Redacción de write-ups detallados (algunos asistidos por IA) |
| 6. Publicación | Subida al repositorio público en GitHub |
| 7. Divulgación | Notificación a la comunidad (foros, redes sociales, Discord) |
CVEs Asignados (10 Confirmados)
| CVE | Prioridad | CVSS | Severidad | Producto | Descripción |
|---|---|---|---|---|---|
| CVE-2026-58053 | 3 | 9.9 | CRÍTICA | Gitea act_runner | Escape de contenedor Docker con host namespaces a pesar de privileged: false
|
| CVE-2026-58049 | 3 | 8.6 | HIGH | FFmpeg | Escritura fuera de límites en heap (RASC video decoder) |
| CVE-2026-58050 | 3 | 7.0 | HIGH | Libssh2 | Desbordamiento de heap en plataformas 32-bit |
| CVE-2026-58056 | 3 | 7.6 | HIGH | RustDesk | Sesión de transferencia de archivos puede inyectar entrada de teclado/ratón |
| CVE-2026-58054 | 3 | 7.2 | HIGH | MyBB | Usuarios con permisos limitados pueden auto-asignarse grupo Administradores |
| CVE-2026-58051 | 3 | 6.5 | MEDIUM | Libssh2 | libssh2_publickey_list_free opera con entrada no inicializada
|
| CVE-2026-58058 | 3 | 6.5 | MEDIUM | Nmap | Lectura fuera de límites en escaneos IPv6 raw |
| CVE-2026-58057 | 1 | 5.0 | MEDIUM | Flowise | Bypass de denylist en Windows (case-insensitive) con node_options
|
| CVE-2026-58055 | 1 | 5.4 | MEDIUM | nghttp2 (nghttpx proxy) | Request smuggling y envenenamiento de cola de respuestas |
| CVE-2026-58052 | — | — | — | — | (No detallado en las fuentes) |
Detalle de Vulnerabilidades Clave
CVE-2026-58053: Escape de Contenedor Gitea (CRÍTICA, 9.9)
| Componente | Detalle |
|---|---|
| Producto | Gitea act_runner (Docker backend) |
| Versiones afectadas | hasta act 0.262.0 |
| Mecanismo | Pasa container.options directamente al HostConfig de Docker
|
| Problema | privileged: false solo desactiva el flag Privileged, pero no elimina otros flags como --pid=host, --cap-add, --security-opt
|
| Impacto | Un usuario que ejecuta un workflow puede crear un contenedor con namespaces host y amplias capacidades, escapando al host como root |
| Lenguaje | Go |
CVE-2026-58054: Escalada de Privilegios en MyBB (HIGH, 7.2)
| Componente | Detalle |
|---|---|
| Producto | MyBB 1.8.40 |
| Mecanismo | El panel de administración no restringe qué grupos de usuarios puede asignar un administrador con permisos limitados |
| Problema | verify_usergroup() siempre retorna true
|
| Impacto | Usuario con permiso delegado de gestión de usuarios puede auto-asignarse el grupo Administradores (gid 4) |
| Lenguaje | PHP |
CVE-2026-58056: Bypass de Permisos en RustDesk (HIGH, 7.6)
| Componente | Detalle |
|---|---|
| Producto | RustDesk |
| Mecanismo | Los mensajes de control se autorizan basándose en flags de capacidad, no en el tipo de conexión autorizada |
| Problema | Una sesión de transferencia de archivos no limpia los flags de capacidad |
| Impacto | Un peer con autorización de transferencia de archivos puede inyectar entrada de teclado/ratón y acceder a capturas de pantalla |
| Lenguaje | Rust |
Impacto y Riesgo
| Categoría | Nivel | Descripción |
|---|---|---|
| Alcance | MUY ALTO | 15+ proyectos populares de código abierto |
| Gravedad de vulnerabilidades | CRÍTICA | Una vulnerabilidad crítica (9.9), 5 altas, 4 medias |
| Exposición | CRÍTICA | Los PoCs están disponibles públicamente antes de que algunos proyectos tengan parches |
| Adopción de proyectos | MASIVA | Proyectos utilizados por millones de usuarios globalmente (Linux, PHP, VLC, 7-Zip, OpenVPN) |
| Tiempo de parche | DESCONOCIDO | Varios proyectos se han enterado de las vulnerabilidades a través del repositorio público |
Consecuencias potenciales
| Consecuencia | Gravedad | Detalle |
|---|---|---|
| Explotación activa | CRÍTICA | Los PoCs públicos permiten a cualquier atacante explotar las vulnerabilidades antes de que los parches estén disponibles |
| Escape de contenedores | CRÍTICA | CVE-2026-58053 permite a un usuario root en el host desde un contenedor de CI/CD |
| Escalada de privilegios | ALTA | MyBB permite a usuarios limitados convertirse en administradores |
| Compromiso de SSH | ALTA | Libssh2 permite a un servidor malicioso corromper un cliente que se está conectando |
| Inyección en aplicaciones | ALTA | RustDesk permite a un peer de transferencia de archivos tomar control del sistema remoto |
El Debate Ético: ¿Divulgación Completa sin Preaviso?
Argumentos a favor (del investigador)
| Argumento | Detalle |
|---|---|
| Atraer investigadores | "Hago esto para atraer a la gente al campo, y siempre he encontrado que esta es la forma más eficiente" |
| No hay intención maliciosa | "En ningún caso utilices ningún material de este repositorio con fines maliciosos" |
| Transparencia | "Siéntanse libres de reportarlos ustedes mismos y tomar el crédito por el CVE si se otorga, jeje" |
| Calidad del trabajo | "Ninguna de las pruebas de concepto se programó automáticamente; de hecho, las escribí manualmente" |
Argumentos en contra (implícitos en la comunidad)
| Argumento | Detalle |
|---|---|
| Riesgo para usuarios | Los PoCs públicos exponen a los usuarios a ataques antes de que los parches estén disponibles |
| Falta de coordinación | No notificar a los proveedores impide una ventana de parcheo privada |
| Posible abuso | Aunque el investigador pide no usar los PoCs maliciosamente, los atacantes ignorarán esa advertencia |
| Doble estándar | Un investigador con publicaciones académicas debería conocer las prácticas de divulgación responsable |
"La filtración de vulnerabilidades de día cero, a la que el investigador denomina Exploratorium, está empezando a convertirse en una tendencia general en la comunidad de seguridad informática de cara a 2026. Dado que las herramientas de IA se han ido introduciendo poco a poco en el ámbito de la investigación de vulnerabilidades, el número de vulnerabilidades que no se han revelado a los propietarios de los proyectos se ha disparado este año."
Contexto Más Amplio: La IA y el Descubrimiento de Vulnerabilidades
| Tema | Implicación |
|---|---|
| Fuzzing con IA | Las herramientas de IA (GPT-5.5-3-Codex-Spark) automatizan el descubrimiento de vulnerabilidades a escala |
| Barrera reducida | Investigadores menos experimentados pueden usar IA para encontrar bugs complejos |
| Aumento de hallazgos | Se espera que el número de vulnerabilidades descubiertas (y publicadas) crezca exponencialmente |
| Crisis de gestión | Los mantenedores de proyectos open-source se ven abrumados por informes |
| Frustración de investigadores | La lentitud en la respuesta de algunos proyectos lleva a divulgaciones públicas |
"Lo hemos visto un par de veces con algunos errores del kernel de Linux, pero cabe esperar que incidentes como estos aumenten en número en los próximos meses, a medida que los investigadores se vean inundados de nuevos hallazgos gracias a sus propias herramientas y decidan arriesgarse en lugar de someterse a la rutina diaria de informar sobre errores y esperar meses para obtener respuestas."
Opiniones de Expertos
"Un investigador de seguridad anónimo, que opera en línea bajo el seudónimo de Bikini, ha publicado código de explotación de prueba de concepto e informes detallados sobre más de una docena de vulnerabilidades de día cero en proyectos populares de código abierto. Las vulnerabilidades se publicaron sin notificar a ninguno de los proveedores." — Catalin Cimpanu, Risky Bulletin
"No necesitas un modelo de última generación para identificar estos problemas, te lo aseguro. Si bien poder adquirir un modelo mejor es útil, mis datos parecen indicar que su impacto es mínimo cuando se combina con una supervisión humana adecuada y un buen arnés." — Bikini (investigador)
"En ningún caso utilices ningún material de este repositorio con fines maliciosos. Esto es una investigación de vulnerabilidades de divulgación abierta de buena fe destinada a atraer a más personas a este campo de la ciberseguridad. El cibercrimen es ridículo." — Bikini (investigador)
Recomendaciones de Mitigación
Para mantenedores de proyectos
| Acción | Prioridad | Descripción |
|---|---|---|
| Revisar el repositorio Exploitarium | CRÍTICA | Identificar si su proyecto está afectado y qué CVEs aplican |
| Desarrollar parches | CRÍTICA | Crear y lanzar parches lo antes posible |
| Comunicación pública | ALTA | Informar a los usuarios sobre el estado de los parches |
| Revisar PoCs | ALTA | Analizar los PoCs para entender la naturaleza exacta de las vulnerabilidades |
Para usuarios
| Acción | Prioridad | Descripción |
|---|---|---|
| Monitorear actualizaciones | CRÍTICA | Estar atentos a parches para los proyectos afectados |
| Actualizar inmediatamente | CRÍTICA | Aplicar parches tan pronto como estén disponibles |
| Reducir exposición | ALTA | Si es posible, limitar el acceso a servicios afectados (Gitea, RustDesk, MyBB) |
| Revisar logs | MEDIA | Buscar actividad sospechosa que pueda indicar explotación de estas vulnerabilidades |
Para organizaciones
| Acción | Descripción |
|---|---|
| Inventario de software | Identificar qué proyectos afectados están en uso en la organización |
| Evaluación de riesgo | Priorizar la actualización de sistemas críticos (Gitea CI/CD, OpenVPN, etc.) |
| Plan de respuesta | Preparar procedimientos de respuesta en caso de explotación |
| Monitoreo | Incrementar el monitoreo de sistemas que utilizan proyectos afectados |
Referencias y Fuentes
- Cimpanu, C. (2026, 1 de julio). Risky Bulletin: Researcher publishes huge zero-day exploit file. Risky Business / Corelight.
- GitHub. (2026, junio-julio). Exploitarium Repository - bikini/exploitarium.
- CVE Database. (2026, 28-30 de junio). CVE-2026-58049 to CVE-2026-58058.
Historial de Revisiones
| Fecha | Versión | Autor | Cambios Realizados |
|---|---|---|---|
| 2026-07-01 | 1.0 | Fernando Vargas Hincapié | Creación inicial basada en el informe de Catalin Cimpanu y análisis del repositorio Exploitarium |
Indicadores de Compromiso (IOCs)
Repositorio de PoCs
| Tipo | Indicador |
|---|---|
| Repositorio GitHub | github.com/bikini/exploitarium
|
| Descripción | Repositorio público con PoCs de vulnerabilidades de día cero |
| Estrellas | 3,100+ (en el momento del informe) |
| Forks | 929+ |
Proyectos afectados
| Proyecto | CVEs asignados |
|---|---|
| Gitea act_runner | CVE-2026-58053 |
| FFmpeg | CVE-2026-58049 |
| Libssh2 | CVE-2026-58050, CVE-2026-58051 |
| RustDesk | CVE-2026-58056 |
| MyBB | CVE-2026-58054 |
| Nmap | CVE-2026-58058 |
| nghttp2 | CVE-2026-58055 |
| Flowise | CVE-2026-58057 |
| Ghidra | (no CVE asignado aún) |
| OpenVPN | (no CVE asignado aún) |
| VLC | (no CVE asignado aún) |
| 7-Zip | (no CVE asignado aún) |
| Anydesk | (no CVE asignado aún) |
| PHP | (no CVE asignado aún) |
| Kernel de Linux | (no CVE asignado aún) |
Contacto del investigador
| Plataforma | Identificador |
|---|---|
| Discord | @ashdfrkl
|
| Discord Server | discord.gg/WytKH65ZR
|
Preguntas sin respuesta
| Pregunta | Estado |
|---|---|
| ¿El investigador notificará a los proveedores en el futuro? | Desconocido |
| ¿El repositorio será suspendido permanentemente? | Ya fue suspendido dos veces |
| ¿Cuántas vulnerabilidades adicionales se publicarán? | Promete un PoC por día después del "gran lanzamiento" |
| ¿Los proveedores están trabajando en parches? | Sí, según Cimpanu |
| ¿Habrá consecuencias legales para el investigador? | Desconocido |
Etiquetas / Categorías
text
exploitarium zero-day-disclosure bikini-researcher gpt-5.5-codex-spark-fuzzing open-source-vulnerabilities cve-2026-58053 gitea-container-escape libssh2-multiple-flaws rustdesk-permission-bypass mybb-privilege-escalation nmap-ipv6-read-bounds nghttp2-request-smuggling flowise-windows-bypass full-disclosure-controversy ai-assisted-research