出来事の日付：2026年6月27日。 あるGitHubアカウントが、脆弱性研究と動作する概念実証エクスプロイトの公開アーカイブを構築した。その中には、投稿時点で影響を受けるプロジェクトに報告していなかったと管理者が述べる項目も含まれる。Exploitariumと名付けられたこのリポジトリは、公開物を教育目的かつ善意による研究として提示する一方、問題を報告し、脆弱性識別子の取得を求めるよう他者に明示的に呼びかけている。

このコレクションには、c-ares、curl、Discord、Discourse、FFmpeg、Firefox、Gogs、Ladybird、libarchive、libssh2、Nextcloud、Next.js、NodeBB、Nmap、OpenSSH、PHP、Pillow、PostgreSQL、QEMU、Redis、RustDesk、System Informerなどのソフトウェアに関する実証が列挙されている。リポジトリ名や概念実証があるだけでは、主張されているすべてのバグがサポート対象のソフトウェアで悪用可能だとは証明されず、提供資料にはベンダーの勧告も独立した再現結果も含まれていない。

管理者によると、それまで別々だった12のリポジトリは、2026年6月23日に新規クローンを比較した後で統合された。確認では追跡対象の96項目を網羅し、Gitのblob識別子を比較した結果、不一致は報告されなかった。この検証によって確認されるのは、作者が主張する保存プロセスであって、基礎となる脆弱性の妥当性や深刻度ではない。リポジトリ単位の履歴、Issue、スター、リリースはアーカイブへ移されず、以前のプロジェクトに残った。

付随する説明には、研究の作業工程について異例なほど詳しい記述がある。作者によると、厳格なプロセスの下でGPT-5.3がすべてのファジングを自動化した一方、エクスプロイト用プログラム自体は、RustDeskのコードに対するAI支援を除いて手作業で入力された。READMEファイルはAIで生成され、正確性を確認するためにレビューされた。作者は自身の経験に基づき、最先端のモデルを使うことよりも、堅牢な作業工程と人間による監督の方が重要だと主張した。

ベンダーへの調整された通知に先立ってエクスプロイトを公開することは、議論の分かれる開示手法である。公開コードは、管理者による問題の再現を助け、防御側が検知や緩和策を構築できるようにする一方、悪用される前にパッチを適用できる時間を短縮する可能性もある。資料を悪用しないよう求める管理者の要請には、誤用を技術的に阻止する力はない。

一覧にあるobjdump関連の発見の1件は、別の研究者の方が先に公開し、より強力な実証を示していたことを管理者が知った後、その研究者の功績とされた。アーカイブはまた、自分の環境で再現できない人々のため、一部の概念実証を拡張する予定だとしている。

利用者とベンダーにとって責任ある対応とは、安全とも侵害とも決めつけず、検証することである。証拠が裏付けるのはリポジトリの主張と収録内容であり、CVEの割り当て、影響を受けるバージョン、または実環境での悪用を確認するものではない。これらの問題には、関係する管理者と独立したセキュリティ研究者による検討が必要である。信頼できる報告を受けた管理者は、証拠を保存し、隔離された環境で再現し、公に結論を示す前に修正を調整すべきである。利用者は、稼働中のシステムで信頼できない実証を実行するのではなく、影響を受けるバージョンや緩和策についての判断を、認証されたベンダーの案内に基づいて行うべきである。