Eksploitasi aktif kerentanan SSHole mengancam sistem Linux

Para pelaku kejahatan siber kini telah memanfaatkan kerentanan baru yang dikenal sebagai SSHole dalam serangan dunia nyata. Kerentanan ini memiliki identifikasi CVE-2026-123158 dan memungkinkan penyerang untuk melewati proses autentikasi pada beberapa sistem Linux. Masalah ini muncul akibat interaksi antara perangkat lunak OpenSSH dan pustaka musl libc. Kerentanan ini terutama memengaruhi sistem yang menggunakan musl libc, di mana OpenSSH berjalan tanpa modul PAM dan autentikasi kata sandi diizinkan. Serangan ini memungkinkan akses ke akun yang seharusnya memiliki akses kata sandi dinonaktifkan melalui tanda bintang di file konfigurasi shadow. Sistem yang paling rentan adalah Alpine Linux, tetapi masalah ini juga dapat memengaruhi distribusi lain yang dibangun dengan musl, termasuk solusi berbasis Buildroot dan Yocto. Peneliti yang menemukan kerentanan ini juga menyebutkan OpenWrt jika OpenSSH diinstal menggantikan Dropbear bawaan. Perbaikan untuk masalah ini telah dimasukkan ke dalam versi OpenSSH 10.6p2 yang dirilis pada 5 November 2026. Sekitar empat jam setelah perbaikan tersebut dirilis, eksploit konsep pembuktian muncul di ruang publik, dan serangan terhadap CVE-2026-123158 segera dimulai.

Spesialis dari Previdian mencatat bahwa upaya eksploitasi pertama terjadi kurang dari sembilan jam setelah informasi kerentanan dipublikasikan. Penyerang berhasil melewati autentikasi dan mendapatkan akses root pada honeypot Alpine Linux. Hingga 8 November, perusahaan tersebut menghitung 20 upaya eksploitasi yang berasal dari 13 alamat IP di sembilan negara. Analis dari GreyNoise melaporkan peretasan pertama yang berhasil menggunakan SSHole pada 7 November, sekitar 40 jam setelah perbaikan dirilis. Perusahaan tersebut mencatat total 16 serangan yang berhasil dari 6 alamat IP, meskipun para peneliti menekankan bahwa data ini tidak mencerminkan skala keseluruhan eksploitasi. Setelah berhasil meretas sistem, penyerang mengumpulkan informasi tentang sistem dan kontainer, meminta metadata lingkungan cloud, dan mencoba mendapatkan hash kata sandi serta kunci SSH untuk pengguna root. Untuk mempertahankan akses, penyerang mencoba menambahkan kunci mereka ke file authorized_keys. Dalam satu kasus, penyerang berhasil mendapatkan hak root dan menginstal TAC Agent, yaitu backdoor berbasis Python untuk menjalankan perintah shell, melakukan pengintaian, mengunggah dan mengunduh file, serta memperbarui diri.