Критичната уязвимост SSHole (CVE-2026-123158) в OpenSSH вече се използва при реални атаки. Наблюдавани са успешни опити за заобикаляне на удостоверяването, изпълнение на команди, събиране на системна информация и установяване на постоянен достъп. Първите опити за експлоатация са регистрирани на 5 ноември – в деня, когато е публикуван работещ proof-of-concept код.

Уязвимостта беше разкрита от изследователя по сигурността Озгюн Кюлтекин и засяга OpenSSH в определени Linux системи, базирани на библиотеката musl. Сред тях е леката дистрибуция Alpine Linux, широко използвана в облачни и виртуализирани среди.

SSHole позволява на атакуващите да влязат в акаунти, за които удостоверяването с парола е забранено чрез задаване на символа * в полето за хеш на паролата. Проблемът възниква при обработката на прекомерно дълга парола: функцията за хеширане на пароли в musl връща * при грешка, а OpenSSH погрешно приема резултата за съвпадение със записаната стойност.

Експлоатацията изисква определени настройки за удостоверяване и не засяга акаунти с валидни хешове на пароли. Ако компрометираният акаунт разполага с административни права без допълнително въвеждане на парола, атакуващият може да достигне и до root достъп.

Първи успешни атаки часове след появата на експлойта

Поддръжниците на OpenSSH отстраниха проблема с версия 10.6p2, публикувана на 5 ноември. Експлойт кодът се появи приблизително четири часа по-късно.

Финландската компания за киберсигурност Defused съобщи, че през уикенда е наблюдавала ограничен брой участници, опитващи се да експлоатират SSHole. Според компанията активността все още не е широко разпространена.

Компанията за анализ на заплахи GreyNoise регистрира първата успешна експлоатация в реална среда на 7 ноември в 00:46 UTC – около 40 часа след публикуването на поправката.

Изследователите са документирали 16 успешни вериги на експлоатация, насочени към мрежи, наблюдавани от GreyNoise. Атаките са извършени от шест IP адреса, свързани с последваща злонамерена активност. Компанията уточнява, че тези наблюдения не представят непременно цялостния мащаб на експлоатацията.

Разузнаване на системите и опити за постоянен достъп

При наблюдаваните атаки извършителите са изпълнявали команди за събиране на информация за операционната система и контейнерната среда. Те са отправяли заявки към облачни metadata услуги, опитвали са да прочетат хешове на пароли и SSH ключове на root акаунта, както и да променят файловете authorized_keys, за да си осигурят повторен достъп.

При един от случаите атакуващият е получил root права и е инсталирал TAC Agent – Python агент за командване и управление (C2). Въпреки успешното внедряване обаче зловредният компонент не е успял да се свърже със сървъра tac.vpnla[.]org и не е получил команди.

Анализът на TAC Agent показва, че той поддържа изпълнение на shell команди, подробно разузнаване на системата, качване и изтегляне на файлове и възможност за собствено обновяване. Агентът няма вграден механизъм за постоянство, поради което атакуващите се опитват да осигурят стартирането му чрез системна услуга.

GreyNoise отбелязва, че коментарите в кода, логовете и съобщенията за грешки на импланта са на китайски език. Този факт може да бъде използван като допълнителен индикатор при анализ на произхода на атаката, но сам по себе си не установява самоличността или местоположението на извършителите.

Изследователите откриват и липсваща проверка за наличието на необходим инструмент. Това може да е признак за автоматизирано изпълнение, при което обратната връзка от системата би могла да помогне на автоматизиран механизъм за планиране да коригира командите си.

Наблюдения и от други компании

Данните на GreyNoise показват 27,5 милиона сканирания на порт 22 и 20,1 милиона опита за SSH сесии. Тези стойности обаче не представляват потвърдени атаки чрез SSHole.

Компанията за мрежова сигурност Previdian също потвърждава успешна експлоатация. Нейната телеметрия отчита 20 опита от 13 IP адреса, разположени в девет държави.

Компанията за offensive security watchTowr съобщава на 6 ноември, че е наблюдавала експлоатация на SSHole в атаки, свързани с ботнети и добив на криптовалути.

Какво трябва да направят администраторите

Администраторите трябва възможно най-скоро да обновят OpenSSH до версия 10.6p2 или по-нова, когато използват засегната конфигурация. Като алтернативна временна мярка могат да деактивират удостоверяването с парола за SSH на уязвимите системи.

Препоръчва се също да бъдат проверени:

• Неочаквани успешни влизания с парола в акаунти, чието поле за парола в /etc/shadow съдържа *.
• Неоторизирани SSH ключове, добавени към файловете authorized_keys.
• Наличие на файлове, свързани с TAC Agent.
• Неочаквани системни услуги, конфигурирани за автоматично стартиране.

Регистрираните успешни атаки показват, че SSHole вече не е само теоретичен риск. За организациите, използващи Alpine Linux и други musl-базирани среди, проверката на версията и конфигурацията на OpenSSH трябва да бъде приоритетна.