SSHole açığından yararlanarak saldırılar başladı

shallow focus photography of padlocks in steel cable — marcos mayer / Unsplash

Bilgi güvenliği uzmanları, CVE-2026-123158 olarak tanımlanan yeni SSHole açığından kötü amaçlı kişilerin gerçek saldırılarda yararlandığını bildirdi. Açık, OpenSSH ve musl libc kütüphanesinin etkileşiminde ortaya çıkıyor ve bazı Linux sistemlerinde kimlik doğrulamayı atlatmaya olanak tanıyor.

Sorun, musl libc kullanan Linux sistemlerinde OpenSSH PAM olmadan çalışırken ve parola kimlik doğrulaması etkinleştirildiğinde meydana geliyor. Açık, /etc/shadow dosyasında yıldız işaretiyle parola girişi devre dışı bırakılan hesaplara erişim sağlıyor. Sorun öncelikle Alpine Linux'u etkiliyor ancak Buildroot ve Yocto tabanlı diğer musl kullanan sistemleri de etkileyebiliyor. OpenWrt üzerinde Dropbear yerine OpenSSH yüklü olması durumunda da sorun ortaya çıkabiliyor.

Düzeltme 5 Kasım 2026'da yayımlanan OpenSSH 10.6p2'ye dahil edildi. Araştırmacılar, düzeltme yayımlandıktan yaklaşık dört saat sonra açık kaynak kodlu bir saldırı aracının ortaya çıktığını ve CVE-2026-123158 saldırılarının başladığını bildirdi.

Previdian uzmanları, bilgi yayımlandıktan dokuz saatten kısa bir süre sonra ilk saldırı denemesini kaydettiklerini ve saldırganların Alpine Linux üzerinde kimlik doğrulamayı başarıyla atlatarak kök erişimi elde ettiklerini belirtti. 8 Kasım itibariyle dokuz ülkeden 13 IP adresinden gelen 20 saldırı denemesi kaydedildi.

GreyNoise şirketi analisti ise SSHole kullanılarak ilk başarılı kırılmanın 7 Kasım'da, yama yayımlandıktan yaklaşık 40 saat sonra gerçekleştiğini bildirdi. Şirket toplamda altı IP adresinden gelen 16 başarılı saldırı kaydetti ancak bu verilerin saldırıların genel kapsamını yansıtmadığını vurguladı.

Kırılmadan sonra saldırganlar sistem ve konteyner bilgisi topladı, bulut ortamı meta verilerini sorguladı, parola karmaları ve kök kullanıcısının SSH anahtarlarını elde etmeye çalıştı. Sisteme yerleşmek için authorized_keys dosyasına kendi anahtarlarını eklemeye çalıştı.

Bir durumda saldırganlar kök haklarını başarıyla elde etti ve kabuk komutları yürütmek, keşif yapmak, dosya yüklemek ve indirmek ile kendi kendini güncellemek için tasarlanmış TAC Agent adlı Python arka kapısını yükledi. Sisteme yerleşmek için ayrıca otomatik başlatma hizmeti oluşturmaya çalıştı. Ancak bu durumda araç tam olarak çalışmadı ve yönetim sunucusuyla bağlantı kuramadı. TAC Agent'ın açıklamalarında, günlüklerinde ve hata mesajlarında Çince dil bulunmasına rağmen araştırmacılar bunun saldırıları atfetmek için yeterli olmadığını belirtti.

WatchTowr şirketi uzmanları da SSHole saldırılarını kaydettiklerini ve bu faaliyeti botnetler ve kripto para madenciliğiyle ilişkilendirdiklerini bildirdi. Yöneticilere OpenSSH 10.6p2 veya dağıtımlarının düzeltilmiş paketini en kısa sürede yüklemeleri önerildi. SSH günlüklerinde parola kimlik doğrulaması devre dışı bırakılmış hesaplara şüpheli başarılı girişler aranması, bilinmeyen SSH anahtarları, TAC Agent izleri ve saldırganların yerleşmek için kullanabileceği yeni hizmetler aranması tavsiye edildi.