हाकर्स ने SSHole कमजोरी का उपयोग शुरू कर दिया

सूचना सुरक्षा विशेषज्ञों ने चेतावनी दी है कि अपराधी वास्तविक हमलों में नई कमजोरी SSHole का उपयोग कर रहे हैं, जिसे CVE-2026-123158 के रूप में पहचाना गया है। यह त्रुटि OpenSSH और musl libc लाइब्रेरी के बीच की अंतःक्रिया में उत्पन्न होती है और इसका दुरुपयोग कुछ लिनक्स प्रणालियों में प्रमाणीकरण को बायपास करने की अनुमति देता है।

यह समस्या उन लिनक्स प्रणालियों में होती है जहाँ musl libc का उपयोग होता है, OpenSSH PAM के बिना चलता है और पासवर्ड प्रमाणीकरण की अनुमति दी गई है। इस कमजोरी का उपयोग करके, अपराधी उन खातों में प्रवेश कर सकते हैं जिनके लिए /etc/shadow फ़ाइल में स्टार चिह्न के माध्यम से पासवर्ड लॉगिन बंद कर दिया गया है। इसका प्रभाव सबसे पहले Alpine Linux पर पड़ता है, हालांकि यह Buildroot और Yocto जैसी musl आधारित प्रणालियों और OpenWrt (जहाँ OpenSSH Dropbear की जगह लगाया गया हो) को भी प्रभावित कर सकती है।

सुधार OpenSSH 10.6p2 में शामिल किया गया था, जिसे 5 नवंबर 2026 को जारी किया गया था। शोधकर्ताओं के अनुसार, सुधार जारी होने के लगभग चार घंटे बाद ही सार्वजनिक रूप से एक प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट उपलब्ध हो गया और हमले शुरू हो गए। Previdian के विशेषज्ञों ने CVE की जानकारी प्रकाशित होने के नौ घंटे से भी कम समय में पहली दुरुपयोग की कोशिश दर्ज की, जिसमें Alpine Linux हनीपोट पर रूट एक्सेस प्राप्त किया गया। 8 नवंबर तक, कंपनी ने नौ देशों के 13 IP पताओं से 20 दुरुपयोग की कोशिशों की गणना की।

GreyNoise के विश्लेषकों ने 7 नवंबर को, यानी पैच जारी होने के लगभग 40 घंटे बाद, पहली सफल धमकी की रिपोर्ट दी। कंपनी ने 6 IP पताओं से 16 सफल हमलों को दर्ज किया, हालांकि शोधकर्ताओं ने स्पष्ट किया कि ये आँकड़े दुरुपयोग के कुल पैमाने को दर्शाते नहीं हैं। धमकी के बाद, अपराधी प्रणाली और कंटेनरों की जानकारी एकत्र करते, क्लाउड मेटाडेटा का अनुरोध करते, रूट यूज़र के पासवर्ड हैश और SSH कुंजियों को प्राप्त करने की कोशिश करते और अपने कुंजियों को authorized_keys में जोड़ने का प्रयास करते।

एक मामले में, अपराधियों ने सफलतापूर्वक रूट अधिकार प्राप्त किए और TAC Agent नामक पायथन बैकडोर स्थापित किया, जो शेल कमांड चलाता है और फ़ाइलों को अपलोड/डाउनलोड करता है। हालांकि, इस इम्प्लांट ने पूर्ण रूप से काम नहीं किया क्योंकि यह tac.vpnla[.]org पर स्थित प्रबंधन सर्वर से संपर्क नहीं कर सका और कोई कमांड प्राप्त नहीं कर सका। TAC Agent के लॉग और त्रुटि संदेशों में चीनी भाषा की उपस्थिति देखी गई, हालांकि शोधकर्ताओं ने कहा कि यह तथ्य हमलों के स्रोत की पहचान के लिए पर्याप्त नहीं है। watchTowr के विशेषज्ञों ने भी SSHole के दुरुपयोग की पुष्टि की और इस गतिविधि को बॉटनेट और क्रिप्टोकरेंसी माइनिंग से जोड़ा।

प्रशासकों को सलाह दी गई है कि वे तुरंत OpenSSH 10.6p2 या अपने डिस्ट्रो का सुधारा हुआ पैकेज इंस्टॉल करें। उन्हें SSH लॉग में पासवर्ड प्रमाणीकरण बंद किए गए खातों में संदिग्ध सफल लॉगिन की जाँच करनी चाहिए, अज्ञात SSH कुंजियों, TAC Agent के निशानों और अपराधियों द्वारा प्रणाली में टिके रहने के लिए बनाई गई नई सेवाओं को खोजने की भी सलाह दी गई है।