Уязвимость SSHole в OpenSSH уже используют в реальных атаках: после публикации PoC 5 ноября злоумышленники начали проверять Linux-серверы, а первая подтверждённая успешная эксплуатация была зафиксирована через два дня. Риск особенно актуален для команд, использующих Alpine Linux в контейнерах, облаке и виртуальных машинах: при определённой конфигурации атакующий может войти в учётную запись, для которой пароль формально отключён.
Как сообщает BleepingComputer, проблема получила идентификатор CVE-2026-123158 и была раскрыта исследователем безопасности Озгуном Кюлтекеном на прошлой неделе. Исправление вошло в OpenSSH 10.6p2, выпущенный 5 ноября. Примерно через четыре часа после релиза патча в открытом доступе появился код для эксплуатации — типичный и неприятный интервал, когда обновления ещё не успели добраться до продакшена, а сканеры уже ищут отстающие хосты.
Уязвимость SSHole затрагивает не любой Linux-сервер с OpenSSH. Ей подвержены некоторые системы на базе musl libc, в том числе компактный дистрибутив Alpine Linux. Ошибка связана с обработкой слишком длинного пароля: в такой ситуации функция хеширования паролей musl возвращает символ «*» как признак сбоя. OpenSSH в уязвимой конфигурации может ошибочно принять этот результат за совпадение с содержимым поля пароля в /etc/shadow.
Именно «*» обычно используют для учётных записей, которым запрещён вход по паролю. Получается довольно ироничная инверсия защитного механизма: маркер отключённого пароля при неверной обработке становится условием обхода аутентификации. При этом атака требует конкретных настроек SSH и не работает против аккаунтов с корректно заданными хешами паролей. Но если скомпрометированная учётная запись может запускать административные команды без запроса пароля, последствия быстро доходят до root-доступа.
Масштаб подтверждённой активности пока не выглядит массовым, но поведение атакующих уже вполне прикладное. Финская компания Defused заметила небольшое число попыток эксплуатации в выходные. GreyNoise зафиксировала первую успешную атаку 7 ноября в 00:46 UTC — примерно через 40 часов после выхода исправления. Её сенсоры увидели 16 успешных цепочек атак с шести IP-адресов, связанных с действиями после взлома. Эти данные не описывают весь интернет-трафик, но хорошо показывают, что ждать широкого распространения эксплойта для начала защиты не стоит.
После входа злоумышленники не ограничивались проверкой баннера SSH. Они собирали сведения о системе и контейнерах, обращались к сервисам метаданных облака, пытались прочитать хеши паролей и корневые SSH-ключи. Отдельная цель — файл authorized_keys: добавленный туда ключ даёт устойчивый способ вернуться на сервер без повторного использования SSHole. GreyNoise также видела случай повышения привилегий до root и установку TAC Agent — Python-агента управления, умеющего выполнять команды, обследовать систему, передавать файлы и обновлять себя.
В наблюдаемом эпизоде TAC Agent не смог подключиться к управляющему серверу tac.vpnla[.]org и не получил заданий. Это не делает инцидент безопасным: сам факт установки показывает готовую цепочку для закрепления и удалённого управления. У агента нет встроенной постоянности, поэтому атакующие пытались компенсировать это созданием службы автозапуска. В комментариях, логах и сообщениях об ошибках импланта исследователи нашли китайский язык, однако этого недостаточно для надёжной атрибуции. Ещё один признак — слабая проверка доступности инструментов, которая могла быть рассчитана на автоматизированный сценарий, корректирующий следующие команды по ответам цели.
Для инфраструктурных команд план действий короткий. Нужно обновить OpenSSH до 10.6p2 или более свежей версии на затронутых системах. Если обновление временно невозможно, следует отключить парольную аутентификацию по SSH там, где это не ломает операционные процессы. Отдельно стоит проверить журналы на успешные входы по паролю в аккаунты, у которых в /etc/shadow указан «*», просмотреть authorized_keys на неожиданные ключи и поискать файлы TAC Agent либо неизвестные сервисы запуска. Previdian сообщила о 20 попытках эксплуатации с 13 IP-адресов в девяти странах, а watchTower ещё 6 ноября связала активность с ботнетами и криптомайнингом.
Уязвимость SSHole — очередное напоминание, что Alpine и musl уменьшают размер образов, но не уменьшают ответственность за их сопровождение. По данным GreyNoise, в сети зафиксированы 27,5 млн сканирований порта 22 и 20,1 млн попыток SSH-сессий; далеко не все связаны с этой ошибкой, но шум вокруг SSH гарантированно маскирует ранние признаки атаки. В ближайшие дни главным индикатором зрелости процессов будет не наличие патча в списке задач, а подтверждение того, что он действительно установлен на каждом доступном извне узле.
