SSHole в OpenSSH: вход без пароля на Alpine и первые атаки через 40 часов после патча

Что случилось

Несколько компаний по кибербезопасности подтвердили активную эксплуатацию уязвимости SSHole (CVE-2026-123158) в OpenSSH. Атакующие обходят аутентификацию, выполняют команды, читают учётные данные и закрепляются в системе. Попытки начались 5 ноября — в день публикации эксплоита, первые успешные взломы зафиксированы на следующий день. О проблеме сообщил исследователь Озгюн Култекин; затрагивает она OpenSSH на системах с библиотекой musl, включая Alpine — лёгкий дистрибутив, который массово используется в контейнерах и облачных окружениях.

Детали

Механизм строится на путанице между ошибкой и совпадением. Если в поле пароля в /etc/shadow стоит звёздочка, вход по паролю для аккаунта запрещён. Слишком длинный пароль заставляет функцию хеширования musl вернуть звёздочку как признак ошибки, а OpenSSH принимает это за совпадение с сохранённым значением.

• исправление вошло в OpenSSH 10.6p2, выпущенный 5 ноября; код эксплоита появился примерно через четыре часа;
• уязвимость требует определённых настроек аутентификации и не затрагивает аккаунты с корректным хешем пароля;
• там, где у скомпрометированной учётной записи есть административные права без пароля, эксплуатация даёт root;
• GreyNoise зафиксировала первое успешное срабатывание 7 ноября в 00:46 UTC — примерно через 40 часов после выхода патча;
• за выходные исследователи увидели 16 успешных цепочек эксплуатации с шести IP-адресов; Previdian сообщает о 20 попытках с 13 адресов в девяти странах.

В наблюдавшихся атаках злоумышленники проводили разведку системы и контейнеров, обращались к метаданным облака, пытались прочитать хеши паролей и SSH-ключи root, правили authorized_keys для закрепления. В одном случае атакующий получил root и установил TAC Agent — написанный на Python агент управления с поддержкой команд, разведки, загрузки файлов и самообновления. Собственной устойчивости у него нет, поэтому злоумышленники прописывали его в автозапуск; обращения к серверу управления не прошли, задачи агент не получил. Комментарии и сообщения об ошибках в нём были на китайском. Компания watchTower 6 ноября отмечала эксплуатацию SSHole в атаках, связанных с ботнетами и майнингом.

Для масштаба: GreyNoise за тот же период насчитала 27,5 млн сканирований 22-го порта и 20,1 млн попыток установить SSH-сессию, хотя не все они относятся к SSHole.

Что это значит

Главный риск — контейнерные парки на Alpine: образы собирают один раз, обновляют редко, а SSH-доступ в них часто включён «чтобы зайти и посмотреть». Действия по приоритету: обновить OpenSSH до 10.6p2 или новее; если обновление невозможно — отключить PasswordAuthentication; проверить журналы на успешные входы по паролю в аккаунты, у которых в /etc/shadow стоит звёздочка; просмотреть authorized_keys и несанкционированные файлы или юниты TAC Agent. То, что эксплоит появился через четыре часа после патча, а успешная атака — через 40 часов, давно стало нормой: окно между публикацией исправления и взломом измеряется часами, и откладывать обновление на плановое окно в выходные больше не работает.