Exploit PoC Publicado para Falha Crítica no libssh2 Embutido em curl, Git e PHP

Pesquisadores de segurança publicaram um exploit proof-of-concept funcional para CVE-2026-55200, uma vulnerabilidade crítica de corrupção de memória no libssh2 classificada como CVSS 9.2 que afeta todas as versões até 1.11.1.

libssh2 é uma dependency embutida silenciosamente dentro de curl, Git, PHP, agentes de backup, firmware updaters e appliances de rede. Explorar a falha não requer que a vítima execute software de servidor SSH, apenas que faça uma conexão SSH de saída para um host malicioso.

Como a Vulnerabilidade Funciona

O bug reside em ssh2_transport_read() em transport.c. O campo packet_length controlado pelo atacante não é validado antes de calcular o tamanho da alocação de heap, causando integer overflow de 32 bits e out-of-bounds writes — escalável para RCE.

Detalhes do PoC

O PoC foi publicado no arquivo GitHub «exploitarium». É uma exploit primitive confirmada, não um ataque remoto completo.

Status do Patch

Nenhuma versão corrigida disponível ainda. O commit 97acf3df existe no mainline mas não foi marcado como release. Debian já tem build reparado em testing.

O Que Fazer Agora

Auditar dependências libssh2 (curl, PHP SSH, backup agents, firmware), monitorar release oficial, e restringir conexões SSH de saída a hosts confiáveis. CVE-2026-55200 é uma das vulnerabilidades de infraestrutura mais significativas de 2026, conforme The Hacker News.