CVE-2026-55200: exploit public per a un error critic a libssh2 que afecta curl, Git i PHP sense que encara existeixi un pedac oficial

El 29 de juny de 2026 es va publicar a GitHub una prova de concepte per a CVE-2026-55200 (CVSS 9.2), una vulnerabilitat critica de corrupcio de memòria a libssh2, la llibreria client d'SSH integrada en centenars d'eines i dispositius. L'error permet a un servidor SSH malicios o compromes provocar un desbordament de heap en qualsevol client que s'hi connecti, sense necessitat de credencials valides ni interaccio addicional de l'usuari. La direccio de l'atac es la que menys es sol vigilar: no es el servidor el que esta en perill, es el client que es connecta a un servidor SSH no fiable. libssh2 esta integrat a curl, Git, PHP, agents de copia de seguretat, actualitzadors de firmware i un llarg llistat de dispositius embeguts. El pedac ja esta fusionat al repositori principal del projecte, pero a data de publicacio d'aquest article encara no existeix una versio oficial etiquetada.

‍

Que se sap de CVE-2026-55200?

• Vulnerabilitat: desbordament d'enter a desbordament de buffer (CWE-680) a la funcio ssh2_transport_read() del fitxer transport.c. El camp packet_length no es valida correctament abans d'usar-se en operacions aritmetiques de 32 bits.
• Mecanisme tecnic: quan un atacant envia un valor de packet_length de 0xffffffff, l'operacio aritmetica de 32 bits dona la volta i produeix un numero molt petit. libssh2 reserva llavors un buffer dimensionat per a aquest numero incorrecte, pero el codi posterior escriu el paquet complet, molt mes gran, en aquest buffer insuficient.
• CVSS 9.2: sense autenticacio requerida, sense interaccio addicional de l'usuari, vector d'atac de xarxa.
• Versions afectades: totes les versions de libssh2 fins a la 1.11.1 inclosa. El pedac es va fusionar el 12 de juny mitjancant el pull request #2052, pero encara no existeix una versio etiquetada que l'inclogui.
• Abast de l'ecosistema afectat: libssh2 esta integrat a curl, Git, PHP, agents de backup, actualitzadors de firmware i dispositius de xarxa embeguts.
• El PoC es parcial: conte un scaffold d'activacio SSH verificat localment i un harness de RCE local controlat, no un exploit remot llest per usar.
• Sense explotacio activa confirmada a data de publicacio segons CISA, tot i que la disponibilitat publica de l'exploit redueix la barrera tecnica.
• Precedent directe: el 2019, libssh2 va publicar la versio 1.8.1 per corregir CVE-2019-3855, un desbordament d'enter gairebe identic a la mateixa funcio.
• Segona vulnerabilitat relacionada: CVE-2026-55199 (CVSS 8.2), un error de denegacio de servei a la mateixa fase de connexio.

‍

Per que un error al client SSH es mes perillos del que sembla

1. L'atacant no necessita comprometre el perimetre de l'organitzacio víctima: necessita controlar un servidor SSH al qual el client es connecti. Això inclou servidors de tercers, repositoris Git externs, serveis de desplegament al nuvol, o qualsevol servidor SSH legitim previament compromes.
2. libssh2 esta present en llocs que els equips de seguretat no solen inventariar. Sol arribar enllaçat de forma estatica dins d'altres eines: agents de backup, actualitzadors de firmware, scripts d'automatitzacio.
3. L'enllaçat estatic trenca el model habitual de pedac per gestor de paquets. Cada eina que empaqueta la seva propia copia de libssh2 requereix el seu propi cicle d'actualitzacio independent.
4. El mateix patro d'error ja va causar problemes fa set anys.

‍

Com funciona la cadena d'explotacio de CVE-2026-55200

1. El client amb libssh2 vulnerable inicia una connexio SSH cap a un servidor controlat per l'atacant.
2. El servidor malicios envia un paquet SSH amb un valor de packet_length manipulat.
3. La llibreria calcula el tamany del buffer amb aritmetica de 32 bits sense validar el límit superior.
4. El codi posterior escriu el paquet complet, molt mes gran, en el buffer insuficient.
5. La memoria sobreescrita pot contenir codi controlat per l'atacant que s'executa en el context del proces client.

‍

Lliçons clau i checklist de mitigacio

Pas 1 - Inventariar on es libssh2:

• Identificar les eines internes que usen libssh2, revisant dependències d'aplicacions, agents de backup i dispositius de xarxa.
• Parar especial atencio a binaris que enllaçen libssh2 de forma estatica.

Pas 2 - Aplicar el pedac disponible mentre s'espera la versio oficial:

• El pedac esta disponible al commit 97acf3dfda80c91c3a8c9f2372546301d4a1a7a8. Debian ja te una build reparada en testing.

Pas 3 - Restringir connexions SSH sortints a servidors no fiables:

• Bloquejar o limitar severament les connexions SSH cap a servidors externs no fiables.

Pas 4 - Monitoritzar connexions sortints anomales:

• Vigilar connexions SSH sortints inusuals des de maquines client.

‍

La ciberseguretat com a prioritat estrategica

CVE-2026-55200 il·lustra un problema estructural de la cadena de subministrament de programari de codi obert: una llibreria critica de baix nivell, enllaçada de forma estatica en centenars d'eines, amb un patro d'error que ja va causar problemes fa set anys. Per als equips de seguretat, la pregunta d'avui es directa: saps quines eines de la teva organitzacio es connecten via SSH a servidors fora del teu control directe?

‍

Apolo Cybersecurity: inventari de dependències i mitigacio de CVE-2026-55200

A Apolo Cybersecurity ajudem organitzacions a avaluar la seva exposicio davant vulnerabilitats de cadena de subministrament com CVE-2026-55200: inventari d'eines i dispositius que integren libssh2, identificacio de binaris amb enllaçat estatic, aplicacio de pedacos i mitigacions de xarxa, i revisio de les polítiques de connexio SSH sortint cap a servidors externs.

‍