セキュリティ · 2026年11月13日
他の言語でも公開 English
SSHole脆弱性の実在攻撃が確認され、OpenSSH 10.6p2への緊急更新が推奨される
セキュリティ専門家が、CVE-2026-123158として知られるSSHole脆弱性を実際の攻撃に悪用する事例を確認したと警告している。この欠陥は、musl libcを使用するLinuxシステムにおいて、PAMなしで動作しパスワード認証が許可されているOpenSSH環境で発生する。攻撃者は、/etc/shadowファイルでアスタリスクによりパスワードログインが無効化されているアカウントに対して認証を回避し、システムに侵入できる。
影響を受ける主な環境はAlpine Linuxだが、muslベースのBuildrootやYocto、およびDropbearの代わりにOpenSSHを導入したOpenWrtも対象となり得る。修正は2026年11月5日にリリースされたOpenSSH 10.6p2に含まれている。研究者によれば、パッチ公開から約4時間後に公開された概念実証コードが出現し、直後に攻撃が開始された。
Previdianは、脆弱性情報公開から9時間以内にハニーポットでの最初の悪用を試みられたと報告している。攻撃者はAlpine Linux環境で認証を回避しルート権限を取得した。11月8日時点で、9カ国から13のIPアドレスによる20件の悪用試みが記録された。一方、GreyNoiseはパッチ公開から約40時間後の11月7日に最初の成功した侵入を確認し、6つのIPアドレスから16件の成功した攻撃を記録した。これらの数値は悪用の全規模を示すものではないと強調されている。
侵入後の攻撃者は、システム情報やコンテナデータの収集、クラウド環境メタデータの要求、ルートユーザーのパスワードハッシュやSSH鍵の取得を試みた。永続化のためauthorized_keysへの鍵追加や自動起動サービスの作成が行われた。1件の事例では、Python製のバックドアであるTAC Agentがインストールされたが、管理サーバーとの通信に失敗し機能しなかった。このエージェントのログには中国語が含まれていたが、攻撃の帰属を断定するには不十分である。watchTowrは、この活動がボットネットや暗号通貨マイニングと関連していると警告している。管理者には、OpenSSH 10.6p2への即時更新、SSHログの異常なログイン確認、および不明なSSH鍵や新規サービスの調査が推奨されている。