Aanvallers gebruiken SSHole-kwetsbaarheid actief tegen Linux-systemen

a triangle shaped sign on a yellow wall — Markus Spiske / Unsplash

Beveiligingsdeskundigen waarschuwen dat cybercriminelen de nieuwe kwetsbaarheid SSHole, met de identificatiecode CVE-2026-123158, al inzetten in echte aanvallen. Het defect ontstaat door de interactie tussen OpenSSH en de musl libc-bibliotheek. Exploitatie van deze fout maakt het mogelijk om de authenticatie op bepaalde Linux-systemen te omzeilen.

Het probleem treft Linux-systemen die musl libc gebruiken, waar OpenSSH draait zonder PAM en waar wachtwoordauthenticatie is toegestaan. De kwetsbaarheid staat aanvallers toe om toegang te krijgen tot accounts waarvoor wachtwoordinvoer is uitgeschakeld door een sterretje in het bestand /etc/shadow. Vooral Alpine Linux is hierdoor kwetsbaar, maar ook andere systemen die zijn gebouwd met musl, zoals oplossingen op basis van Buildroot en Yocto, kunnen getroffen zijn. De onderzoeker die de fout ontdekte, noemde ook OpenWrt, mits daar OpenSSH is geïnstalleerd in plaats van de standaard Dropbear.

Een correctie werd opgenomen in OpenSSH 10.6p2, dat op 5 november 2026 is uitgebracht. Ongeveer vier uur na de publicatie van de fix verscheen er een openbare exploitatiecode. De eerste poging tot misbruik van de fout werd minder dan negen uur na de bekendmaking van de CVE vastgelegd. Aanvallers omzeilden de authenticatie en kregen root-toegang op een honeypot met Alpine Linux. Op 8 november had het bedrijf Previdian twintig pogingen vastgesteld, afkomstig van dertien IP-adressen uit negen landen.

Analisten van GreyNoise meldden de eerste succesvolle inbraak op 7 november, ongeveer veertig uur na de release van de patch. Het bedrijf registreerde zestiende succesvolle aanvallen vanaf zes IP-adressen, hoewel dit niet de totale omvang van het misbruik weergeeft. Na de inbraak verzamelde de aanvaller informatie over het systeem en containers, vroeg om metadata van de cloudomgeving en probeerde wachtwoordhashes en SSH-sleutels van de root-gebruiker te verkrijgen. Om zich in het systeem te verankeren, probeerden de daders hun sleutels toe te voegen aan de authorized_keys.

In één geval kregen aanvallers root-rechten en installeerden ze TAC Agent, een Python-backdoor voor het uitvoeren van shell-commando's, verkenning, bestandsupload en download, en zelfupdates. Ze probeerden ook een aparte autostart-dienst te maken. Deze implantatie werkte echter niet volledig, omdat de verbinding met de beheersserver op tac.vpnla[.]org mislukte en geen commando's werden ontvangen. De onderzoekers melden dat de commentaren, logs en foutmeldingen van TAC Agent in het Chinees zijn, maar dat dit alleen nog niet genoeg is voor toewijzing van de aanvallen. Experts van watchTowr waarschuwen dat ze ook SSHole-misbruik zien en dit koppelen aan botnets en cryptomining. Administratoren worden dringend geadviseerd om OpenSSH 10.6p2 of een gepatchte pakketversie zo snel mogelijk te installeren. Ze moeten ook de SSH-logboeken controleren op verdachte succesvolle inlogpogingen bij accounts met uitgeschakelde wachtwoordauthenticatie. Daarnaast is het verstandig te zoeken naar onbekende SSH-sleutels, sporen van TAC Agent en nieuwe diensten die door aanvallers kunnen zijn gebruikt.