Saldırganlar Açıklamanın Ardından OpenSSH Açığını Hızla Kötüye Kullandı

silver macbook on white table — Maxim Hopman / Unsplash

Güvenlik araştırmacıları, OpenSSH yazılımında bulunan ve SSHole olarak adlandırılan kritik bir güvenlik açığının, açıklanmasından kısa süre sonra aktif olarak istismar edildiğini bildirdi. Bu durum, şifre alanı boş bırakılmış hesapların yetkisiz erişime maruz kalmasına neden olmaktadır.

Söz konusu zafiyet, CVE-2026-123158 kimliğiyle takip edilmekte olup 8,1 CVSS puanına sahiptir. Açık, musl C kütüphanesi üzerinde çalışan ve Pluggable Authentication Modules (PAM) özelliği devre dışı bırakılmış Linux sistemlerini etkilemektedir. Bu yapılandırma, Alpine Linux varsayılan OpenSSH sunucu ayarlarını da kapsamaktadır. Sorun, 2016 yılında CVE-2016-6210 olarak bilinen kullanıcı adı sayım açığını düzeltmek için yapılan bir yamada ortaya çıkmıştır.

Teknik analizlere göre, OpenSSH 10.6p2 sürümünden önceki versiyonlarda, belirli koşullar altında başarısız bir şifre özetleme işlemi, sistem tarafından başarılı bir kimlik doğrulama olarak yanlış yorumlanabilmektedir. Saldırgan, 257 ile 1.024 bayt arasında değişen uzunlukta rastgele bir şifre girerek bu durumu tetikleyebilir. Bu işlem, hesapta saklanan yıldız işaretiyle eşleşen bir değer üretir ve sshd süreci bu durumu geçerli bir giriş olarak kabul eder. Başarılı istismar, hesabın mevcut yetkileriyle erişim sağlar ancak geçerli şifre özetlerine sahip hesaplardaki şifreleri atlamaya izin vermez.

Previdian adlı tehdit istihbarat şirketi, açık kaynaklı hale geldikten sonra ilk istismar denemesinin dokuz saatten kısa bir sürede gerçekleştiğini gözlemledi. Şirket, Alpine Linux ve OpenSSH çalıştıran bir bal arısında kök yetkisinin ele geçirildiğini doğruladı. Telemetri verileri, Japonya'da konumlandırılan bir IP adresinden toplam sekiz istismar denemesi yapıldığını göstermektedir. Saldırgan, id, uname ve hostname gibi keşif komutlarını etkileşimsiz SSH oturumları üzerinden çalıştırmıştır.

Uzmanlar, etkilenen kullanıcıların OpenSSH 10.6p2 sürümünü veya dağıtımın yamalanmış paketini kurmasını ve ardından sshd hizmetini yeniden başlatmasını önermektedir. Ayrıca, şifre kabul etmemesi gereken hesaplara ait 'Accepted password for' log kayıtlarının incelenmesi tavsiye edilmektedir. Şüpheli bir girişin dışlanması mümkün değilse, ilgili sistemin ele geçirilmiş kabul edilmesi gerekmektedir. Açık, Dropbear, glibc tabanlı dağıtımlar ve PAM üzerinden şifre kontrolü yapan sistemleri etkilememektedir.