LinuxЗлоумышленники активно эксплуатируют уязвимость SSHole (CVE-2026-123158) в OpenSSH для выполнения команд, кражи учетных данных и закрепления в системах.
Несколько компаний в сфере кибербезопасности подтвердили атаки. По их данным, попытки эксплуатации начались 5 ноября, в день публикации демонстрационного эксплойта, а первые успешные атаки зафиксировали на следующий день.
Как работает SSHole
Уязвимость, которую на прошлой неделе раскрыл исследователь Озгюн Кюльтекин (Ozgun Kultekin), позволяет обходить аутентификацию OpenSSH в некоторых Linux-системах на базе библиотеки musl. Среди них – легковесный дистрибутив Alpine, который используют в облачных и виртуальных средах.
Ошибка позволяет входить в учетные записи, у которых вместо хеша пароля указана звездочка (*), запрещающая вход по паролю.
При обработке слишком длинного пароля функция хеширования musl возвращает * в качестве признака ошибки. OpenSSH ошибочно считает этот результат совпадением со значением, сохраненным для учетной записи.
Кюльтекин пояснил, что для эксплуатации нужны определенные настройки аутентификации. Уязвимость не затрагивает учетные записи с корректными хешами паролей. Если скомпрометированная учетная запись имеет административные права без запроса пароля, злоумышленник может получить права root.
Разработчики OpenSSH исправили уязвимость в версии 10.6p2, выпущенной 5 ноября. Примерно через четыре часа появился код эксплойта.
Хронология SSHole: от исправления в OpenSSH до первой успешной атаки и внесения уязвимости в каталог CISA KEV. Изображение: GreyNoise
Первые подтвержденные атаки
Финская компания Defused сообщила на выходных, что наблюдала «небольшое число злоумышленников», пытавшихся использовать SSHole. При этом массового характера атаки не носили.
Компания GreyNoise, специализирующаяся на анализе угроз, зафиксировала первую успешную эксплуатацию SSHole в реальной атаке 7 ноября в 00:46 UTC – примерно через 40 часов после выхода исправления.
Исследователи зарегистрировали 16 успешных цепочек эксплуатации в сетях под наблюдением GreyNoise. Атаки исходили с шести IP-адресов, с которых также выполнялись действия после взлома. В компании подчеркнули, что эти наблюдения не отражают общую картину использования SSHole.
В обнаруженных атаках злоумышленники собирали сведения о системе и контейнерах, обращались к службам метаданных облачных платформ, пытались прочитать хеши паролей и SSH-ключи root, а также изменить файлы SSH authorized_keys, чтобы сохранить доступ.
Один из атакующих получил права root и установил TAC Agent – агент удаленного управления на Python. Однако вредоносная программа не смогла связаться с управляющим сервером tac.vpnla[.]org и не получила ни одного задания.
Возможности TAC Agent
Анализ TAC Agent показал, что он поддерживает выполнение команд оболочки, подробный сбор сведений о системе, загрузку и скачивание файлов, а также собственное обновление.
Обмен данными между TAC Agent и управляющим сервером. Изображение: GreyNoise
Встроенного механизма закрепления у агента нет, поэтому злоумышленники пытаются обеспечить его запуск через службу автозагрузки.
GreyNoise отметила, что комментарии в коде, сообщения журналов и ошибки написаны на китайском языке. Вместе с другими данными это может помочь установить происхождение атакующих.
На возможную автоматизацию атак указывает проверка наличия необходимого инструмента: если его нет, возвращается обратная связь, которая может помочь автоматизированному планировщику скорректировать команды и продолжить атаку.
В общей сложности GreyNoise зарегистрировала 27,5 млн сканирований порта 22 и 20,1 млн попыток установить SSH-сеанс. Однако эти события не подтверждены как атаки с использованием SSHole.
Датчики компании Previdian, занимающейся сетевой безопасностью, также подтвердили успешную эксплуатацию SSHole. Телеметрия показала 20 попыток с 13 IP-адресов злоумышленников в девяти странах.
К 10 ноября счетчики выросли: GreyNoise насчитывает уже 36,9 млн сканирований порта 22 и 27,2 млн попыток установить SSH-сеанс, а Previdian – 22 попытки эксплуатации с 14 IP-адресов в 10 странах.
Компания watchTowr, специализирующаяся на наступательной безопасности, 6 ноября сообщила, что наблюдала эксплуатацию SSHole в атаках, связанных с ботнетами и майнингом криптовалют.
9 ноября CISA внесло CVE-2026-123158 в каталог известных эксплуатируемых уязвимостей (KEV) и предписало федеральным ведомствам США устранить ее до 12 ноября.
Как защитить системы
Системным администраторам следует как можно скорее обновить OpenSSH либо отключить аутентификацию SSH по паролю в системах, затронутых SSHole.
В стабильных ветках Alpine Linux исправление вышло не в виде OpenSSH 10.6p2, а в виде обновленных пакетов: openssh 10.3_p1-r2 в Alpine 3.24, 10.2_p1-r1 в 3.23, 10.0_p1-r11 в 3.22, 9.9_p2-r1 в 3.21 и 9.7_p1-r6 в 3.20. По данным разработчиков Alpine, исправленные пакеты выпущены и для более старых веток, вплоть до 3.16.
После обновления пакета sshd нужно перезапустить: установка пакета не перезапускает уже работающую службу. В Alpine это делает команда:
rc-service sshd restart
Также рекомендуется проверить неожиданные успешные входы по паролю в учетные записи, у которых поле пароля в /etc/shadow содержит *, наличие посторонних SSH-ключей, файлов TAC Agent и служб его автозапуска.
