الأمن · 13 نوفمبر 2026
مهاجمون يستغلون ثغرة SSHole لاختراق أنظمة لينكس والحصول على صلاحيات الجذر
بدأ مهاجمون إلكترونيون باستغلال ثغرة أمنية جديدة تُعرف باسم SSHole، والمُصنفة تحت المعرف CVE-2026-123158، لتنفيذ هجمات حقيقية تستهدف أنظمة تشغيل لينكس. تسمح هذه الثغرة بتجاوز عمليات المصادقة والدخول غير المصرح به إلى الحسابات التي تم تعطيل دخولها بكلمة مرور، مما يمنح المهاجمين سيطرة كاملة على الأنظمة المتضررة.
تنشأ هذه المشكلة التقنية نتيجة تفاعل غير آمن بين برنامج OpenSSH ومكتبة musl libc في بيئات لينكس التي تعمل بدون وحدة PAM وتسمح بالمصادقة بكلمة المرور. تؤثر الثغرة بشكل أساسي على توزيع Alpine Linux، ولكنها قد تمتد لتشمل أنظمة أخرى مبنية على مكتبة musl مثل تلك المُجمعة باستخدام Buildroot وYocto. كما تشمل الأنظمة القائمة على OpenWrt إذا تم تثبيت OpenSSH فيها بدلاً من الخادم الافتراضي Dropbear.
أصدر المطورون تصحيحاً أمنياً ضمن الإصدار OpenSSH 10.6p2 في الخامس من نوفمبر عام 2026. ومع ذلك، ظهر كود إثبات مفهوم للاستغلال في العراء بعد أربع ساعات فقط من نشر التصحيح، لتبدأ الهجمات فوراً. سجلت شركة Previdian أول محاولة استغلال ناجحة خلال أقل من تسع ساعات من الإعلان عن الثغرة، حيث تمكن المهاجمون من تجاوز المصادقة والحصول على صلاحيات الجذر على نظام فخ مصمم لرصد الهجمات.
بحلول الثامن من نوفمبر، رصدت شركة Previdian عشرين محاولة استغلال صدرت من ثلاثة عشر عنوان بروتوكول إنترنت موزعة على تسع دول مختلفة. وفي سياق متصل، أفادت شركة GreyNoise عن أول اختراق ناجح باستخدام هذه الثغرة في السابع من نوفمبر، أي بعد حوالي أربعين ساعة من إصدار التصحيح. سجلت الشركة ست عشرة هجمة ناجحة انطلقت من ستة عناوين بروتوكول إنترنت، مع التأكيد على أن هذه الأرقام لا تعكس الحجم الكلي للاستغلال.
بعد النجاح في اختراق الأنظمة، شرع المهاجمون في جمع معلومات حول البيئة النظامية والحاويات، وطالبوا ببيانات تعريفية للبيئات السحابية، وحاولوا استخراج تجزئات كلمات المرور ومفاتيح SSH الخاصة بالمستخدم الجذر. ولتثبيت وجودهم داخل الأنظمة، حاول المهاجمون إضافة مفاتيح SSH خاصة بهم إلى ملفات الصلاحيات المعتمدة.
في حالة موثقة، نجح المهاجمون في الحصول على صلاحيات الجذر وقاموا بتثبيت وكيل TAC، وهو باب خلفي مكتوب بلغة بايثون مصمم لتنفيذ أوامر الصدفة، وإجراء عمليات استطلاع، وتحميل الملفات، وتحديث نفسه ذاتياً. حاول المهاجمون أيضاً إنشاء خدمة تشغيل تلقائي منفصلة لضمان استمراريتهم، إلا أن البرنامج الضار فشل في الاتصال بخادم التحكم الخاص به ولم يتلقَ أي أوامر further. لاحظ الباحثون وجود نصوص باللغة الصينية في سجلات هذا الوكيل، لكنهم أشاروا إلى أن هذا الدليل وحده غير كافٍ لتحديد هوية المهاجمين بدقة.
حذرت شركة watchTowr أيضاً من رصد نشاط استغلال للثغرة وربطته بشبكات روبوتية وعمليات تعدين للعملات الرقمية. يوصي الخبراء مسؤولي الأنظمة بتحديث برنامج OpenSSH إلى الإصدار 10.6p2 أو حزمة التصحيح الخاصة بتوزيعاتهم فوراً. كما ينصحون بمراجعة سجلات SSH للكشف عن أي دخول ناجح مشبوه للحسابات المعطلة، والبحث عن مفاتيح SSH غير معروفة أو آثار لوكيل TAC أو خدمات جديدة تم إنشاؤها حديثاً.