Безопасность · 9 ноября 2026 г.
Также опубликовано на 日本語, 中文, 한국어, हिन्दी, Türkçe, العربية, Deutsch, Español, Français, Italiano, Nederlands, Svenska, Norsk, Polski, עברית, Indonesia
Хакеры начали эксплуатировать уязвимость SSHole в OpenSSH сразу после ее раскрытия
Злоумышленники пытаются использовать недавно обнаруженную брешь в безопасности OpenSSH, которая позволяет осуществлять вход в учетные записи без установленного пароля. По данным компании Previdian, первые попытки эксплуатации были зафиксированы менее чем через девять часов после публикации данных об уязвимости.
Проблема, получившая кодовое название SSHole и идентификатор CVE-2026-123158 с оценкой CVSS 8.1, затрагивает системы Linux, где OpenSSH работает на базе библиотеки C musl с отключенными модулями плагинной аутентификации PAM. В эту категорию попадает стандартная конфигурация сервера OpenSSH в Alpine Linux. Уязвимость не затрагивает системы на базе glibc, нелинуксовые системы, Dropbear и системы, проверяющие пароли через PAM.
Механизм атаки основан на ошибке в обработке паролей, которая возникла из-за исправления другой уязвимости 2016 года. Неавторизованный атакующий может ввести пароль длиной от 257 до 1024 байт. Это вызывает сбой операции хеширования, в результате чего возвращается символ звездочки. Поскольку этот же символ используется для обозначения учетных записей с отключенным паролем на системном уровне, демон sshd воспринимает это как успешную аутентификацию.
Для успешного взлома в системе должна существовать хотя бы одна учетная запись, где хеш пароля представлен звездочкой. Атака не позволяет обходить пароли в аккаунтах с валидными хешами. Доступ предоставляется с правами скомпрометированной учетной записи, что может привести к получению учетных данных развертывания, секретов приложений и доступу к подключенной инфраструктуре.
Компания Previdian подтвердила получение прав суперпользователя root на приманке, использующей Alpine Linux и OpenSSH. Телеметрия показала восемь попыток эксплуатации с одного IP-адреса, расположенного в Японии. Злоумышленник использовал избыточные пароли для обхода аутентификации и запускал команды разведки, такие как id, uname и hostname.
Разработчики исправили проблему в версии OpenSSH 10.6p2. Пользователям рекомендуется установить обновление и перезапустить sshd. Представители Alpine советуют проверить системные журналы на наличие записей о принятых паролях для учетных записей, которые не должны поддерживать такой вход, а также проверить использование doas и недавно созданных пользователей и файлов.