PoC público é divulgado para falha crítica no libssh2 que permite execução remota de código

<p>Foi publicado em 29 de junho de 2026 um exploit de prova de conceito (PoC) para a <strong>CVE-2026-55200</strong>, falha crítica na biblioteca <strong>libssh2</strong> que permite que um servidor SSH malicioso ou comprometido cause corrupção de memória no cliente conectado, com potencial de execução remota de código. A falha afeta todas as versões até a 1.11.1.</p><h2>Causa raiz</h2><p>A causa raiz é um erro de aritmética de 32 bits: quando o servidor envia um <code>packet_length</code> igual a <code>0xffffffff</code>, o cálculo sofre overflow e resulta em um número muito pequeno. A libssh2 então aloca um buffer dimensionado para esse valor incorreto, mas o código subsequente tenta gravar o pacote completo (de tamanho real muito maior) nesse buffer subdimensionado, causando uma escrita fora dos limites (out-of-bounds heap write).</p><h2>Vetor de ataque</h2><p>Não exige credenciais nem interação do usuário; basta que o cliente se conecte a um servidor SSH malicioso ou comprometido.</p><h2>Sistemas afetados</h2><p>A libssh2 está embutida em diversos softwares amplamente usados, incluindo curl, Git, PHP, agentes de backup, atualizadores de firmware e diversos dispositivos embarcados.</p><h2>Mitigação</h2><p>Atualizar para a versão corrigida da libssh2, que adiciona verificação de limites e rejeita qualquer <code>packet_length</code> acima de <code>LIBSSH2_PACKET_MAXPAYLOAD</code> antes que o erro aritmético ocorra.</p>