Попытки использовать уязвимость OpenSSH начались меньше чем через девять часов после публикации CVE-2026-123158. Компания Previdian зафиксировала восемь атак с одного IP-адреса, геолокированного в Японии. Одна из них завершилась успешно: злоумышленник получил root-доступ к honeypot-системе на Alpine Linux с OpenSSH.
Уязвимости присвоен идентификатор CVE-2026-123158 и оценка 8,1 по шкале CVSS. Исследователь Ozgun Kultekin обнаружил ошибку, получившую название SSHole, или sshole. Она затрагивает некоторые Linux-системы, где OpenSSH работает с библиотекой musl, а Pluggable Authentication Modules (PAM) отключены. В качестве примера уязвимой конфигурации названа стандартная настройка OpenSSH-сервера Alpine Linux.
Для атаки не нужны украденные пароли или SSH-ключи. Злоумышленник отправляет пароль длиной от 257 до 1024 байт. При определённых условиях его хеширование завершается ошибкой, и OpenSSH возвращает символ
Для этого у одной из учётных записей системы в поле пароля уже должно стоять
Причина такого поведения связана с изменением, внесённым в OpenSSH в 2016 году для исправления другой ошибки, CVE-2016-6210, которая позволяла определять существующие имена пользователей. В сценарии SSHole сбой хеширования обрабатывается так, что результат совпадает с обозначением системно отключённого пароля. Из-за этого неудачная проверка превращается в успешную.
Получив доступ, атакующий действует с правами взломанной учётной записи. Safe Security отмечает, что от этих прав зависит масштаб последствий: злоумышленник может добраться до учётных данных для развёртывания, секретов приложений и подключённой инфраструктуры. Это создаёт возможность для дальнейшего перемещения по сети или нарушения работы сервисов.
Уязвимость не затрагивает Dropbear, дистрибутивы Linux на glibc, системы не на Linux и конфигурации, где проверка пароля выполняется через PAM. Исправление включено в OpenSSH 10.6p2; также можно установить исправленный пакет, выпущенный своим Linux-дистрибутивом.
Previdian связала зафиксированные попытки с адресом 89.116.89[.]18. Основатель и генеральный директор компании Ryan Dewhurst сообщил The Hacker News, что источник отправлял чрезмерно длинные пароли для обхода аутентификации, а затем запускал команды разведки в неинтерактивных SSH-сеансах:
После установки исправления нужно перезапустить
Изображение носит иллюстративный характер
Уязвимости присвоен идентификатор CVE-2026-123158 и оценка 8,1 по шкале CVSS. Исследователь Ozgun Kultekin обнаружил ошибку, получившую название SSHole, или sshole. Она затрагивает некоторые Linux-системы, где OpenSSH работает с библиотекой musl, а Pluggable Authentication Modules (PAM) отключены. В качестве примера уязвимой конфигурации названа стандартная настройка OpenSSH-сервера Alpine Linux.
Для атаки не нужны украденные пароли или SSH-ключи. Злоумышленник отправляет пароль длиной от 257 до 1024 байт. При определённых условиях его хеширование завершается ошибкой, и OpenSSH возвращает символ
sshd сравнивает результат со значением Для этого у одной из учётных записей системы в поле пароля уже должно стоять
Причина такого поведения связана с изменением, внесённым в OpenSSH в 2016 году для исправления другой ошибки, CVE-2016-6210, которая позволяла определять существующие имена пользователей. В сценарии SSHole сбой хеширования обрабатывается так, что результат совпадает с обозначением системно отключённого пароля. Из-за этого неудачная проверка превращается в успешную.
Получив доступ, атакующий действует с правами взломанной учётной записи. Safe Security отмечает, что от этих прав зависит масштаб последствий: злоумышленник может добраться до учётных данных для развёртывания, секретов приложений и подключённой инфраструктуры. Это создаёт возможность для дальнейшего перемещения по сети или нарушения работы сервисов.
Уязвимость не затрагивает Dropbear, дистрибутивы Linux на glibc, системы не на Linux и конфигурации, где проверка пароля выполняется через PAM. Исправление включено в OpenSSH 10.6p2; также можно установить исправленный пакет, выпущенный своим Linux-дистрибутивом.
Previdian связала зафиксированные попытки с адресом 89.116.89[.]18. Основатель и генеральный директор компании Ryan Dewhurst сообщил The Hacker News, что источник отправлял чрезмерно длинные пароли для обхода аутентификации, а затем запускал команды разведки в неинтерактивных SSH-сеансах:
id, uname и hostname. После установки исправления нужно перезапустить
sshd. Alpine советует проверить /var/log/messages на записи sshd с текстом «Accepted password for» для учётных записей, которым вход по паролю не разрешён. В рекомендации названы alpine, root и любые пользователи, которым разрешён вход только по ключу. Также следует изучить использование doas, проверить недавно созданные учётные записи и файлы, а на доступных извне машинах — список авторизованных ключей. Если нельзя исключить успешный вход, Alpine рекомендует считать систему скомпрометированной.
