Publicado un PoC Exploit para una falla crítica en libssh2 incrustada en curl, Git y PHP

Investigadores de seguridad han publicado un exploit proof-of-concept funcional para CVE-2026-55200, una vulnerabilidad crítica de corrupción de memoria en libssh2 con CVSS 9.2 que afecta a todas las versiones hasta la 1.11.1.

libssh2 es una dependency incrustada silenciosamente dentro de curl, Git, PHP, agentes de respaldo, actualizadores de firmware y appliances de red. Explotar la falla no requiere que la víctima ejecute software de servidor SSH, solo hacer una conexión SSH saliente a un host malicioso.

Cómo funciona la vulnerabilidad

El bug reside en ssh2_transport_read() en transport.c. El campo packet_length controlado por el atacante no se valida contra un límite superior antes de calcular el tamaño de asignación de heap, causando un integer overflow de 32 bits y out-of-bounds writes — escalable a RCE.

Detalles del PoC

El PoC fue publicado en el archivo GitHub «exploitarium». Es una exploit primitive confirmada, no un ataque remoto llave en mano.

Estado del parche

No hay versión corregida aún. El parche (commit 97acf3df) existe en mainline pero sin etiquetar. Debian ya tiene un build reparado en testing.

Qué hacer ahora

Auditar dependencias de libssh2 (curl, PHP SSH, backup agents, firmware), monitorear el release oficial, y restringir conexiones SSH salientes a hosts de confianza. CVE-2026-55200 es una de las vulnerabilidades más significativas de 2026, según The Hacker News.