Sicurezza · 9 novembre 2026
Pubblicato anche in 日本語, 中文, 한국어, हिन्दी, Türkçe, Русский, العربية, Deutsch, Español, Français, Nederlands, Svenska, Norsk, Polski, עברית, Indonesia
Attaccanti sfruttano vulnerabilità SSHole in OpenSSH per ottenere accesso root
Attori di minacce stanno tentando di sfruttare una falla di sicurezza recentemente rivelata che colpisce OpenSSH, la quale può consentire l'accesso ad account che non hanno una password impostata, secondo Previdian.
La vulnerabilità, identificata come CVE-2026-123158 con un punteggio CVSS di 8.1 e denominata SSHole, interessa i sistemi Linux che eseguono OpenSSH sulla libreria C musl con i Moduli di Autenticazione Pluggable disabilitati, inclusa la configurazione predefinita del server OpenSSH di Alpine Linux.
Un utente non autenticato può fornire una password di dimensioni eccessive per accedere ad account configurati deliberatamente senza password utilizzabili, senza dover rubare credenziali o chiavi SSH. Il problema è stato risolto in OpenSSH 10.6p2.
L'origine del problema risale a una correzione introdotta nel 2016 per risolvere una vulnerabilità di enumerazione degli utenti. In condizioni specifiche, il comportamento di gestione delle password in OpenSSH interpreta erroneamente un'operazione di hashing della password fallita come un'autenticazione riuscita, producendo lo stesso valore, un asterisco, utilizzato per indicare che un account ha la password disabilitata a livello di sistema.
Un attaccante può attivare la vulnerabilità per autenticarsi in determinati account con password disabilitata utilizzando una password arbitraria lunga tra 257 e 1.024 byte, causando il fallimento del tentativo di hash e il ritorno di un asterisco. Il demone sshd confronta quindi questo valore con l'asterisco memorizzato nel campo password dell'account, portando a un accesso riuscito. Lo sfruttamento richiede che almeno un account abbia un asterisco come hash della password e non permette di bypassare le password in account con hash validi.
Previdian ha osservato il primo tentativo di sfruttamento meno di nove ore dopo la pubblicazione della CVE, confermando l'ottenimento di un accesso root su un honeypot che eseguiva Alpine Linux e OpenSSH. I dati di telemetria mostrano un totale di otto tentativi di sfruttamento provenienti da un indirizzo IP localizzato in Giappone. L'indirizzo IP ha utilizzato password sovradimensionate per aggirare l'autenticazione ed ha eseguito comandi di ricognizione tramite sessioni SSH non interattive.
La vulnerabilità non influisce su Dropbear, distribuzioni Linux basate su glibc, sistemi non Linux e sistemi che verificano le password tramite i Moduli di Autenticazione Pluggable. Agli utenti interessati è consigliato di installare OpenSSH 10.6p2 o il pacchetto corretto della propria distribuzione e riavviare sshd. Alpine raccomanda inoltre di esaminare i log per voci di password accettate per account che non dovrebbero accettare accessi tramite password.