黑客已开始利用 SSHole 漏洞攻击 Linux 系统

安全专家警告称，攻击者已在真实网络攻击中利用名为 SSHole 的新漏洞。该漏洞编号为 CVE-2026-123158，影响在使用 musl libc 库且未启用 PAM 模块的 Linux 系统上运行的 OpenSSH 服务。攻击者可借此绕过身份验证，登录那些在系统文件中被标记为禁用密码登录的账户。

该问题主要波及 Alpine Linux，但也可能影响其他基于 musl 构建的系统，包括采用 Buildroot 和 Yocto 方案的设备。若 OpenWrt 系统用 OpenSSH 替换了默认的 Dropbear，同样面临风险。修复补丁已包含在 2026 年 11 月 5 日发布的 OpenSSH 10.6p2 版本中。

研究人员指出，补丁公开后约四小时便出现了概念验证攻击代码。Previdian 公司记录到首次利用尝试发生在漏洞信息披露后九小时内，攻击者成功获取了运行 Alpine Linux 的蜜罐系统的根权限。截至 11 月 8 日，该公司共检测到来自九个国家十三个互联网地址的二十次攻击企图。

GreyNoise 分析师报告称，11 月 7 日发生了首次成功入侵，距离补丁发布约四十小时。该公司共观察到六次来自六个不同互联网地址的成功攻击，但强调这并未反映整体利用规模。攻击者在入侵后收集系统与容器信息，索取云环境元数据，并尝试获取根用户的密码哈希值及密钥。

在某些案例中，攻击者安装了名为 TAC Agent 的 Python 后门程序，用于执行命令、侦察及文件传输，并试图创建自启动服务以维持访问。尽管该后门因无法连接控制服务器而未完全生效，但其代码中包含中文注释。此外，watchTowr 公司也将此类活动与僵尸网络及加密货币挖矿联系起来。

专家强烈建议管理员立即升级至 OpenSSH 10.6p2 或安装发行版提供的修复包，同时检查日志中是否存在针对禁用密码账户的可疑登录记录，并排查未知的密钥、后门痕迹及新增服务。