ผู้เชี่ยวชาญเตือนการโจมตีด้วยช่องโหว่ SSHole เริ่มมีการใช้งานจริง

ผู้เชี่ยวชาญด้านความปลอดภัยรายงานว่ามีการใช้ช่องโหว่ SSHole ซึ่งมีหมายเลข CVE-2026-123158 ในการโจมตีจริง ช่องโหว่นี้เกิดขึ้นเมื่อ OpenSSH ทำงานร่วมกับไลบรารี musl libc และการโจมตีสามารถข้ามการพิสูจน์ตัวตนในระบบ Linux บางระบบได้.

ช่องโหว่นี้ทำให้ผู้โจมตีสามารถเข้าถึงบัญชีที่ปิดการเข้าสู่ระบบด้วยรหัสผ่านในไฟล์ /etc/shadow บนระบบที่ใช้ musl libc โดยเฉพาะ Alpine Linux รวมถึงระบบอื่นๆ ที่สร้างโดยใช้ musl เช่น Buildroot และ Yocto.

หลังจากมีการเผยแพร่แพตช์ใน OpenSSH 10.6p2 เมื่อวันที่ 5 พฤศจิกายน 2026 พบว่าภายในเวลาไม่ถึงสี่ชั่วโมงมีการเผยแพร่ PoC-เอ็กซ์พลอยต์ และการโจมตีเริ่มขึ้น.

บริษัท Previdian รายงานว่าพบการพยายามโจมตีครั้งแรกภายในเวลาไม่ถึงเก้าชั่วโมงหลังการเผยแพร่ข้อมูลเกี่ยวกับ CVE โดยผู้โจมตีสามารถข้ามการพิสูจน์ตัวตนและได้รับสิทธิ root บนฮันนีพอตที่ใช้ Alpine Linux.

GreyNoise รายงานการโจมตีที่ประสบความสำเร็จครั้งแรกด้วย SSHole เมื่อวันที่ 7 พฤศจิกายน โดยมีการโจมตีสำเร็จทั้งหมด 16 ครั้งจาก 6 ที่อยู่ IP.

ผู้เชี่ยวชาญแนะนำให้ผู้ดูแลระบบติดตั้ง OpenSSH 10.6p2 หรือแพ็กเกจที่แก้ไขแล้วโดยเร็วที่สุด และตรวจสอบบันทึก SSH เพื่อหาการเข้าสู่ระบบที่น่าสงสัย.