Киберподполье приступило к активному использованию уязвимости SSHole для обхода аутентификации в OpenSSH. Пока что эти попытки эксплуатации связаны с ботнетами и криптомайнерами, но ожидается, что и другие злоумышленники последуют их примеру. Уязвимость отслеживаемая как CVE-2026-123158 и позволяет злоумышленникам получать доступ к определенным учетным записям, указав любой пароль длиной от 257 до 1024 символов. Успешная эксплуатация уязвимости может позволить получить доступ к таким учетным записям, как root, которые никогда не должны принимать пароль. В некоторых дистрибутивах Linux, использующих реализацию musl libc с отключенным модулем подключаемой аутентификации (PAM), таких как Alpine, Buildroot, OpenWrt, Yocto и др., эти учетные записи принимают пароль. Это происходит потому, что сервер OpenSSH (sshd) проверяет предоставленный пароль, хешируя его и сравнивая с сохраненным хешем пароля, связанным с именем пользователя. Когда у учетной записи отсутствует хеш пароля, как, например, у учетной записи root в Alpine (где поле имеет вид ‘*’), sshd заимствует соль из хеша другой учетной записи для обработки попытки входа. Для паролей длиннее 256 байт функция crypt() библиотеки musl завершается с ошибкой и вместо возврата NULL возвращает ‘*’. Поскольку это совпадает с ‘*’, хранящимся для целевой учетной записи, sshd считает пароль правильным. В Alpine к затронутым учетным записям относятся root, любой пользователь, имеющий только ключ и созданный с помощью adduser без пароля, пользователь Alpine в официальных образах tiny-cloud, а также любой пользователь, полученный из службы каталогов через musl-nscd. На прошлой неделе OpenSSH в срочном порядке выпустила исправления для этой ошибки, а Alpine настоятельно призвала пользователей установить их и как можно скорее перезапустить sshd. И уже в выходные WatchTowr и Previdian выпустили свои предупреждения о том, что хакеры начали использовать уязвимость SSHole в реальных условиях. По данным WatchTowr, пока её используют только ботнеты и майнеры криптовалюты. Телеметрия Previdian идентифицировала 20 попыток эксплуатации, 13 уникальных IP злоумышленников из 9 стран, нацеленных на CVE-2026-123158. Первое обнаружение 6 ноября 2026 г., последнее - 8 ноября 2026 г. Причем о детектировании потенциальной эксплуатации также сообщали GreyNoise и Defused. Пользователям рекомендуется как можно скорее обновить OpenSSH до версии 10.6p2. В качестве меры предосторожности они могут отключить аутентификацию по паролю (по умолчанию включена в OpenSSH) или отключить SSH.