Un chercheur anonyme connu sous le pseudonyme « bikini » a publié fin juin 2026 un dépôt GitHub baptisé « Exploitarium ». On y trouve plus de 130 codes d’attaque visant des logiciels non corrigés, répartis sur 22 projets, sans qu’aucun éditeur n’ait été prévenu au préalable. GitHub a depuis retiré le dépôt, mais des copies circulent déjà. Pour les organisations, cette diffusion massive augmente brutalement le risque d’exploitation, et donc le risque pour les données personnelles.
Que contient le dépôt « Exploitarium » ?
Les démonstrations de faille ciblent des outils très répandus: la bibliothèque libssh2, Splunk, RustDesk, 7-Zip, VLC, AnyDesk, OpenVPN ou encore Gitea. Plusieurs analyses soulignent qu’une partie des prétendus « 0-day » correspond en réalité à des vulnérabilités déjà documentées. Le danger n’en demeure pas moins réel: en réunissant des codes prêts à l’emploi, le dépôt abaisse fortement le niveau de compétence nécessaire pour passer à l’attaque. Des exploitations actives ont déjà été observées sur les failles les plus sérieuses.
Deux vulnérabilités critiques à traiter en priorité
La première, référencée CVE-2026-55200, touche la bibliothèque libssh2 avec un score CVSS de 9.2. Elle autorise une exécution de code à distance avant authentification et concerne toutes les versions jusqu’à la 1.11.1. Comme libssh2 est intégrée à de nombreux outils tels que curl, Git ou PHP, sa surface d’exposition est considérable. La seconde, CVE-2026-20896, vise Gitea: les images Docker officielles étaient livrées avec un paramètre de confiance trop permissif, permettant à n’importe quelle adresse de se faire passer pour un administrateur. Les versions 1.26.3 et 1.26.4 corrigent ce défaut.
Pourquoi un DPO doit s’en préoccuper
L’article 32 du RGPD impose au responsable de traitement comme à son sous-traitant des mesures techniques adaptées au risque, ce qui inclut une gestion rigoureuse des correctifs. Une faille non corrigée puis exploitée pour voler des données expose directement l’organisation. Si une violation survient, l’article 33 impose la notification à la CNIL sous 72 heures, et l’article 34 l’information des personnes en cas de risque élevé. Un inventaire à jour des logiciels et de leurs dépendances devient déterminant, car on ne corrige que ce que l’on connaît.
NIS2 et la gestion des vulnérabilités
La directive NIS2 fait de la gestion des vulnérabilités une obligation pour les entités essentielles et importantes. Elle encourage la divulgation coordonnée des failles et s’appuie sur le rôle du CERT-FR de l’ANSSI. La publication soudaine d’un dépôt comme « Exploitarium » illustre l’inverse d’une divulgation responsable: les éditeurs n’ont pas eu le temps de corriger avant la diffusion. Les organisations doivent donc accélérer leur veille et renforcer leur capacité de réaction.
Nos conseils pratiques
Première action: identifier sans attendre si libssh2, Gitea ou les autres logiciels cités sont présents dans votre environnement, dépendances comprises. Deuxième action: appliquer les correctifs disponibles et, à défaut, isoler les services exposés. Troisième action: surveiller les journaux pour repérer toute tentative d’exploitation. Quatrième action: vérifier que vos sous-traitants appliquent eux aussi ces mises à jour, car leur sécurité engage vos données. Enfin, intégrez ce type d’événement à votre analyse des risques et à votre plan de réponse aux incidents. La rapidité de correction reste la meilleure protection face à des exploits désormais publics.
