Falha SSHole no OpenSSH é explorada para obter root em honeypot Alpine Linux

Ataques começaram horas após a divulgação

Hackers começaram a explorar a CVE-2026-123158, apelidada de SSHole, menos de nove horas após sua divulgação pública. A falha de alta gravidade no OpenSSH pode contornar a autenticação em determinadas configurações Linux e permitir acesso a contas sem senhas utilizáveis.

A empresa de inteligência de ameaças Previdian confirmou que invasores obtiveram privilégios de root em um honeypot, ambiente de monitoramento que executava Alpine Linux com OpenSSH. A vulnerabilidade recebeu pontuação CVSS 8.1 e foi descoberta pelo pesquisador de segurança Ozgun Kultekin.

Combinação de musl e PAM desabilitado é vulnerável

O problema afeta sistemas Linux que usam a biblioteca C musl com os módulos de autenticação PAM desabilitados, configuração padrão do servidor OpenSSH no Alpine Linux. O ataque não exige roubo de credenciais ou chaves SSH, mas depende de uma conta cujo campo de hash de senha contenha um asterisco.

Uma senha arbitrária entre 257 e 1.024 bytes pode provocar uma falha na geração do hash, fazendo a operação retornar o caractere *. Como esse símbolo também pode indicar que a conta não aceita autenticação por senha, o sshd pode comparar valores iguais e aceitar indevidamente o login.

A falha tem origem em uma alteração de 2016 feita para corrigir a CVE-2016-6210, que permitia identificar nomes de usuários por diferenças no comportamento da autenticação. Contas com hashes de senha válidos não são afetadas por esse contorno, que depende das condições específicas descritas no sistema.

Telemetria registra acesso root em honeypot

A Previdian detectou oito tentativas de exploração originadas de um endereço IP geolocalizado no Japão. A empresa confirmou que o endereço 89.116.89[.]18 usou senhas excessivamente longas para contornar a autenticação e executar comandos de reconhecimento em sessões SSH não interativas.

Entre os comandos observados estavam id, uname e hostname, usados para identificar o usuário, o sistema operacional e o nome do equipamento. O acesso root foi confirmado no honeypot, mas os dados apresentados não estabelecem a extensão de possíveis comprometimentos em servidores de produção.

O problema não afeta o servidor SSH Dropbear, distribuições Linux baseadas em glibc, sistemas que não são Linux nem ambientes que verificam senhas por meio do PAM. O impacto depende dos privilégios da conta acessada e pode expor recursos conectados, como credenciais de implantação e segredos de aplicações.

OpenSSH 10.6p2 corrige a falha: atualização e investigação de registros

A falha foi corrigida no OpenSSH 10.6p2. Administradores de sistemas afetados devem instalar essa versão ou o pacote corrigido pela distribuição Linux e reiniciar o serviço sshd para aplicar a atualização. O Alpine Linux também recomenda investigar tentativas de login em contas que não deveriam aceitar senhas.

No Alpine, a orientação é verificar /var/log/messages em busca de entradas com Accepted password for, sobretudo quando associadas a contas como alpine, root ou usuários configurados para aceitar apenas chaves SSH. Também é recomendável revisar o uso de doas, a criação de usuários, arquivos modificados e mudanças nas chaves autorizadas.

Se não for possível descartar um login não autorizado, o equipamento deve ser tratado como comprometido, segundo o Alpine Linux. A revisão dos registros e das alterações no sistema ajuda a identificar sinais de acesso, enquanto a instalação da versão corrigida elimina a vulnerabilidade nas configurações afetadas.