資安媒體Infosecurity Magazine報導，一名匿名資安研究人員近日以bikini帳號，在GitHub公開名為Exploitarium的儲存庫，釋出多項漏洞研究與概念驗證（Proof of Concept，PoC）程式，至少涉及30項軟體產品與開源專案。
bikini在GitHub頁面聲稱，這些漏洞研究內容公開時，尚未通報相關廠商或專案維護者。他也表示，研究過程使用GPT-5.3協助進行模糊測試，由AI分析目標程式並找出異常，再由他人工確認結果；實際PoC則由他自行撰寫。
目前較受關注的漏洞之一，是SSH函式庫libssh2的CVE-2026-55200，這是越界寫入（Out-of-Bounds Write）漏洞，影響libssh2 1.11.1及更早版本。該漏洞的CVSS 4.0風險分數為9.2分，屬於重大（Critical）風險等級。開發團隊已將修補程式合併至libssh2上游程式碼，但尚未釋出正式修補版本。若使用libssh2的用戶端應用程式連向惡意或遭入侵的SSH伺服器，攻擊者可透過特製SSH封包觸發越界寫入，造成堆積記憶體毀損，進而導致遠端程式碼執行。
另一項是自架Git服務平臺Gitea的Actions執行元件Gitea act_runner漏洞CVE-2026-58053，影響採用Docker後端的act_runner 0.262.0及更早版本。根據NVD描述，Gitea act_runner採用Docker後端執行自動化任務定義（workflow）時，未能完整限制高風險容器設定。具備執行workflow流程權限的攻擊者，可能建立高權限作業容器，進而從容器逃脫至主機環境，並在特權模式已停用的狀態下，仍能以root身分存取主機。此漏洞的CVSS 4.0風險分數為9.4分，同樣屬於重大（Critical）風險等級；NVD目前尚未標示官方修補版本。
The Register引述Federal Signal資安分析師Ethan Andrews說法指出，研究人員已觀測到libssh2與Gitea相關漏洞出現實際濫用跡象。由於libssh2這類基礎元件可能隨其他產品一併導入企業環境，企業只靠一般資產盤點，未必能立即掌握受影響範圍。
