Уязвимость *sshole, зарегистрированная как CVE-2026-123158, уже применяется в реальных атаках на Linux-системы: при определённой конфигурации она позволяет получить неаутентифицированный доступ к привилегированным учётным записям за секунды. Для российских команд это повод не откладывать инвентаризацию SSH-серверов, особенно контейнеров, edge-устройств и хостов на Alpine Linux.
Проблема возникает на системах, где OpenSSH работает вместе с библиотекой musl и не использует PAM — инфраструктуру, которая участвует в аутентификации и проверке прав доступа. Как сообщает Ars Technica, об уязвимости публично стало известно в прошлый четверг, а уже через четыре дня исследователи зафиксировали признаки её практической эксплуатации.
Одной связки OpenSSH и musl для атаки недостаточно. Нужна конфигурация без PAM, хотя бы одна учётная запись с паролем, хешированным SHA-256 или SHA-512, а также запись в /etc/shadow со знаком * в поле пароля — так обычно обозначают учётные записи без возможности входа по паролю. Именно на пересечении этих условий и появляется неприятный эффект: сервер пытается обработать пароль, которого по смыслу быть не должно.
Атакующий отправляет для такой записи пароль длиной более 256 символов. Во время проверки OpenSSH передаёт его в функцию хеширования musl; ошибка при обработке слишком длинной строки приводит к возврату символа *. Затем значение ошибочно трактуется как допустимый результат проверки. Red Hat описала корень проблемы как неверное различение между строкой, обозначающей хеш пароля, и служебным значением. Результат для администратора выглядит особенно скверно: удалённый пользователь без валидных учётных данных может добраться до высокопривилегированной записи.
Исследователи GreyNoise сообщили об атаках на свои honeypot-системы в Юго-Восточной Азии. Кампанию они отслеживают под именем GT10 и характеризуют как уже достаточно зрелую: после проникновения операторы устанавливают бэкдор TAC Agent. Он умеет выполнять команды оболочки, собирать сведения о системе и закрепляться на машине. Если Python 3 на скомпрометированном хосте отсутствует, злоумышленники сначала устанавливают и его — этот пакет нужен их инструменту.
В коде бэкдора GreyNoise обнаружила комментарии на китайском языке и признаки генерации с помощью ИИ. Это не доказывает ни происхождение группы, ни её заказчика: комментарии и машинно сгенерированный код давно стали плохими атрибуционными маркерами. Но сама последовательность действий — доступ, установка зависимости, развёртывание агента, разведка и закрепление — показывает, что речь не о демонстрационном скрипте из лаборатории.
Независимые сигналы пришли и от других исследователей. watchTowr увидела активность, связанную с ботнетами и криптовалютой. Компания Previdian сообщила, что её сенсоры зарегистрировали 20 попыток эксплуатации с 13 уникальных IP-адресов, геолокированных в девяти странах. Эти цифры не описывают масштаб всей кампании: это лишь наблюдения конкретной сети датчиков. Однако для уязвимости, раскрытой несколькими днями ранее, они достаточно красноречивы.
В зоне повышенного внимания — Alpine Linux и другие лёгкие дистрибутивы, использующие musl вместо более распространённой glibc. Alpine часто оказывается в контейнерных образах и минимальных сервисных сборках, где удобство и компактность нередко важнее подробной ручной настройки SSH. Миллионы SSH-серверов доступны из интернета, а проверка на уязвимые конфигурации занимает у атакующего секунды. Отсюда простой неприятный вывод: небольшой набор условий не делает риск нишевым.
OpenSSH уже выпустил исправление, которое блокирует эксплуатацию. Командам стоит в первую очередь обновить OpenSSH на доступных извне Linux-хостах, отдельно проверить наличие musl и отключённого PAM, а затем просмотреть /etc/shadow и SSH-конфигурации на предмет затронутых сочетаний. После обновления имеет смысл изучить журналы аутентификации, неожиданные установки Python 3 и признаки запуска незнакомых агентов: патч закрывает вход, но не выгоняет того, кто уже вошёл.
Уязвимость *sshole хорошо иллюстрирует старую проблему инфраструктуры: критичный обход аутентификации может родиться не из экзотического zero-day, а из взаимодействия привычных компонентов и редкого на первый взгляд режима конфигурации. В ближайшие дни главным вопросом станет не только скорость установки обновлений, но и то, сколько минималистичных Linux-образов организации уже успели забыть за балансировщиками, в CI и на периферийных устройствах.
