На GitHub появился архив PoC для десятков уязвимостей в популярных проектах

03.07.2026

На GitHub появился репозиторий Exploitarium, где исследователь под ником Bikini публикует PoC-эксплоиты и описания уязвимостей в популярных open source- и прикладных проектах. Сейчас в архиве уже 31 каталог с материалами, а части находок присвоены CVE.

Автор утверждает, что не уведомляет разработчиков до публикации. Вместо этого он предлагает другим исследователям самостоятельно сообщать о проблемах вендорам и получать упоминание в CVE. Такой подход резко отличается от координированного раскрытия уязвимостей и повышает риск быстрой эксплуатации.

Среди затронутых проектов в репозитории фигурируют 7-Zip, AnyDesk, curl, Docker, Firefox, FFmpeg, Ghidra, Gitea, Gogs, ImageMagick, libssh2, MyBB, Nmap, OpenVPN, PHP, QEMU, RustDesk и VLC. Автор обещает продолжать публикации и добавлять примерно по одному новому PoC в день.

По словам Bikini, для поиска багов он использовал автоматизированный fuzzing-воркфлоу с GPT-5.3. При этом сами PoC, как утверждает исследователь, он писал вручную, а ИИ в основном применялся для форматирования README-файлов и помощи в отдельных проектах.

Эксперты уже обращают внимание, что не все содержимое Exploitarium можно считать настоящими 0-day или оригинальными находками автора. Например, критическая уязвимость CVE-2026-55200 в libssh2 была обнаружена другим исследователем, патч приняли еще до появления PoC в Exploitarium.

Даже с такими оговорками репозиторий представляет практический риск. Публичные PoC быстро попадают в сканеры, автоматизированные наборы атак и подпольные перепродажи, а организации могут не успеть обновить уязвимые компоненты до появления первых попыток эксплуатации.