---
title: Hakerzy atakują lukę OpenSSH SSHole w ciągu kilku godzin od ujawnienia, uzyskując dostęp root na honeypotcie
url: https://www.dataloco.com/pl/hakerzy-atakuja-luke-openssh-sshole-w-ciagu-kilku-godzin-od-ujawnienia-uzyskujac-dostep-root-na-honeypotcie
published: 2026-11-09T08:29:28+00:00
language: pl
section: Bezpieczeństwo
source: https://thehackernews.com/2026/11/hackers-exploited-openssh-sshole-flaw.html
organizations: Previdian, Safe Security, Alpine Linux
publisher: Dataloco
---

# Hakerzy atakują lukę OpenSSH SSHole w ciągu kilku godzin od ujawnienia, uzyskując dostęp root na honeypotcie

Hakerzy w ciągu kilku godzin od publicznego ujawnienia luki w OpenSSH zdołali uzyskać dostęp root na honeypotcie, wykorzystując nowo odkrytą podatność. Atakujący podjęli próby wykorzystania błędu, który umożliwia logowanie się do kont bez ustawionego hasła, jak poinformowała firma Previdian.

Luka, oznaczona jako CVE-2026-123158 (wynik oceny CVSS: 8,1) i nosząca kryptonim SSHole (lub *sshole), dotyka systemy Linux działające z OpenSSH na bibliotece musl C, gdy moduły uwierzytelniania (PAM) są wyłączone. Dotyczy to również domyślnej konfiguracji serwera OpenSSH w dystrybucji Alpine Linux.

Nieautoryzowany atakujący może podać nadmiernie długie hasło, aby uzyskać dostęp do kont, które zostały specjalnie skonfigurowane bez użytecznych haseł, bez konieczności kradzieży poświadczeń lub kluczy SSH. Problem, odkryty przez badacza bezpieczeństwa Ozguna Kultekina, został naprawiony w wersji OpenSSH 10.6p2.

Podstawowa przyczyna sięga patcha wprowadzonego w 2016 roku, aby naprawić lukę umożliwiającą enumerację nazw użytkowników (CVE-2016-6210). W określonych warunkach mechanizm obsługi haseł w OpenSSH błędnie interpretuje nieudane działanie hashowania hasła jako pomyślną autoryzację, generując tę samą wartość ("*"), która wskazuje, że konto ma wyłączone hasło na poziomie systemu.

Atakujący może wywołać lukę, aby zalogować się do niektórych kont z wyłączonymi hasłami, używając dowolnego hasła o długości od 257 do 1024 bajtów, co powoduje błąd w próbie hashowania i zwraca gwiazdkę. Demon sshd następnie porównuje gwiazdkę ze wartością zapisaną w polu hasła konta, co prowadzi do pomyślnego logowania.

Ważne jest, aby zrozumieć, że udane wykorzystanie wymaga co najmniej jednego konta, którego hasło jest zapisane jako gwiazda (*). Nie pozwala to atakującym na obejście haseł na kontach z prawidłowymi hashami haseł.

„Pomyślny atak SSHole zapewnia dostęp z uprawnieniami skompromitowanego konta”, powiedziała firma Safe Security. „Dla przedsiębiorstw konsekwencje SSHole zależą od uprawnień skompromitowanego konta.”

„Chociaż bezpośrednim skutkiem jest nieautoryzowany dostęp SSH, atakujący mogą również uzyskać dostęp do poświadczeń wdrożenia, sekretów aplikacji i podłączonej infrastruktury, co może umożliwić ruch boczny lub zakłócenie usług.”

Warto zauważyć, że luka nie dotyczy Dropbear, dystrybucji Linux opartych na glibc, systemów nie-Linux oraz systemów, które sprawdzają hasła za pomocą PAM.

Firma Previdian, zajmująca się wywiadem cyberbezpieczeństwa, zgłosiła, że pierwsza próba eksploatacji została zaobserwowana mniej niż dziewięć godzin po publikacji CVE. Potwierdzono udany dostęp root na honeypotcie działającym na Alpine Linux i OpenSSH. Dane telemetryczne pokazują łącznie osiem prób eksploatacji z adresu IP zlokalizowanego w Japonii.

„Zaobserwowany adres IP, 89.116.89[.]18, używał nadmiernie długich haseł, aby ominąć uwierzytelnianie i wykonywał polecenia rekonesansu, w tym id, uname i hostname, za pomocą nieinteraktywnych sesji SSH”, powiedział Ryan Dewhurst, założyciel i prezes Previdian, w oświadczeniu udzielonym The Hacker News.

Zaleceniem dla użytkowników jest zainstalowanie OpenSSH 10.6p2 lub poprawkowego pakietu dystrybucji, a następnie ponowne uruchomienie sshd. Alpine zaleca również sprawdzenie wpisów dziennika „Accepted password for” dotyczących kont, które nie powinny akceptować logowań za pomocą hasła. „Sprawdź /var/log/messages pod kątem linii sshd z napisem Accepted password for an account that has no password (alpine, root lub dowolny użytkownik tylko z kluczem)”, powiedziała firma Alpine. „Przejrzyj użycie doas i niedawno utworzonych użytkowników, plików i autoryzowanych kluczy na wystawionych maszynach. Jeśli nie możesz wykluczyć logowania, traktuj maszynę jako skompromitowaną.”

## This story in other languages

- [日本語](https://www.dataloco.com/ja/opensshsshole)
- [中文](https://www.dataloco.com/zh/openssh-sshole)
- [한국어](https://www.dataloco.com/ko/openssh-sshole)
- [हिन्दी](https://www.dataloco.com/hi/hakarasa-na-parakatakaranae-ka-kachha-ha-ghata-ka-bhatara-openssh-ka-sshole-khama-ka-nashana-bnaya-hanapata-para-nprta-ekasasa-parapata-kaya)
- [Türkçe](https://www.dataloco.com/tr/saldirganlar-aciklamanin-ardindan-openssh-acigini-hizla-kotuye-kullandi)
- [Русский](https://www.dataloco.com/ru/xakery-nacali-ekspluatirovat-uiazvimost-sshole-v-openssh-srazu-posle-ee-raskrytiia)
- [العربية](https://www.dataloco.com/ar/mhaol-astghlal-thghr-amny-fy-ntham-aldkhol-aan-baad-khlal-saaaat-mn-alkshf-aanha)
- [Deutsch](https://www.dataloco.com/de/angreifer-nutzen-openssh-sshole-sicherheitslucke-kurz-nach-bekanntgabe-aus)
- [Español](https://www.dataloco.com/es/ciberdelincuentes-explotan-la-vulnerabilidad-sshole-en-openssh-horas-despues-de-su-divulgacion)
- [Français](https://www.dataloco.com/fr/des-pirates-exploitent-une-faille-dopenssh-pour-obtenir-un-acces-root-sur-un-pot-de-miel)
- [Italiano](https://www.dataloco.com/it/attaccanti-sfruttano-vulnerabilita-sshole-in-openssh-per-ottenere-accesso-root)
- [Nederlands](https://www.dataloco.com/nl/hackers-maken-gebruik-van-openssh-sshole-lek-om-root-toegang-te-verkrijgen)
- [Svenska](https://www.dataloco.com/sv/hackare-utnyttjar-sakerhetsbrist-i-openssh-for-att-fa-root-atkomst)
- [Norsk](https://www.dataloco.com/no/hackere-angriper-openssh-sshole-sarbarhet-kort-tid-etter-offentliggjoring)
- [עברית](https://www.dataloco.com/he/openssh)
- [Indonesia](https://www.dataloco.com/id/peretas-targetkan-celah-sshole-pada-openssh-berhasil-dapatkan-akses-root-pada-honeypot)