Критическая уязвимость *sshole в OpenSSH и musl уже используется атакующими

Несколько исследовательских групп сообщают об активной эксплуатации недавно обнаруженной критической уязвимости, которая позволяет злоумышленникам входить в привилегированные аккаунты на многих Linux-системах. Уязвимость получила название *sshole, она возникает при взаимодействии OpenSSH и библиотеки кода musl. По данным Ars Technica, системы, где используются оба пакета и выполняются определённые дополнительные условия, можно взломать и получить неаутентифицированный доступ к высокопривилегированным аккаунтам за считаные секунды.

*sshole стала публично известна в прошлый четверг и быстро вызвала опасения, что она может привести к массовому компрометированию Linux-машин. Спустя четыре дня эти прогнозы начинают подтверждаться.

Кто уже атакует

Компания Greynoise сообщила в понедельник, что её honeypot-системы в Юго-Восточной Азии подверглись атаке со стороны группы, которую она отслеживает под именем GT10. Эта группа проводила «зрелые вторжения» в системы, которые Greynoise использует для обнаружения попыток или успешных атак в реальном времени. Впоследствии Greynoise получила доступ к серверу GT10, что выявило потенциальных других жертв и некоторые инструменты, использованные в кампании.

Бэкдор, который применяет группа в атаках, содержит комментарии на китайском языке и, судя по всему, сгенерирован с использованием ИИ. Greynoise также сообщила, что GT10 устанавливает Python3 на машины, где его ещё нет, поскольку этот пакет необходим для работы бэкдора, отслеживаемого под именем TAC Agent. TAC Agent поддерживает широкий набор функций, включая shell-команды, разведку системы и закрепление в ней.

Исследователи из компании watchTowr в пятницу заявили, что также наблюдают активность эксплуатации, связанную с ботнетами и криптовалютами. Компания Previdian сообщила о похожей активности: её сенсоры зафиксировали 20 попыток эксплуатации с 13 уникальных IP-адресов атакующих, геолоцированных в девяти странах.

В чём суть уязвимости

Уязвимость отслеживается как CVE-2026-123158 и resides в OpenSSH, когда тот работает вместе с musl — альтернативой широко используемой библиотеке кода libc в Linux. Кроме того, OpenSSH не должен использовать PAM (pluggable authentication modules) — фреймворк, который обрабатывает аутентификацию пользователей и проверки доступа к аккаунтам.

Также конфигурации SSH должны соответствовать двум условиям:

• иметь хотя бы один аккаунт, доступный по паролю, хешированному с помощью функции SHA256 или SHA512;
• быть настроенными на использование аккаунтов без пароля путём указания «*» в поле пароля в файле /etc/shadow. Конфигурации без пароля стандартны для некоторых типов аккаунтов.

Эксплуатация срабатывает, когда атакующий вводит пароль длиной более 256 символов для аккаунта без пароля. Этот шаг происходит, когда сервер OpenSSH хеширует предоставленный пароль и сверяет его с хешем, хранящимся в /etc/shadow. Слишком длинный пароль вызывает ошибку, из-за которой функция хеширования паролей musl возвращает «*». Атаки эксплуатируют «неверную интерпретацию того, является ли строка предполагаемым хешем пароля», как заявила Red Hat.

Масштаб угрозы и что делать

Несмотря на множество необходимых условий, CVE-2026-123158 представляет серьёзную угрозу для большой базы машин, прежде всего работающих на Alpine — лёгком дистрибутиве Linux. Простота эксплуатации позволяет злоумышленникам направлять вредоносные команды на любой из миллионов SSH-серверов, открытых в интернете, и за секунды выявлять потенциально уязвимые.

OpenSSH уже выпустил исправление, которое предотвращает работу атак. Всем, кто использует OpenSSH, следует оперативно установить обновление. Тем, кто использует musl, стоит провести дополнительную проверку.

Что это значит

Ситуация показывает, что даже уязвимость с несколькими обязательными условиями может стать реальной проблемой, если затронутая база систем велика, а эксплуатация проста. Для администраторов Linux это практический сигнал: проверить, используется ли связка OpenSSH и musl, и не откладывать установку исправления. Для остальных это напоминание о том, что открытые в интернете SSH-серверы остаются заметной поверхностью атаки.