해커들이 OpenSSH 취약점을 이용해 리눅스 시스템을 타겟으로 삼기 시작하다

사이버 보안 전문가들은 *sshole로 알려진 취약점 CVE-2026-123158의 적극적인 악용을 기록했습니다. 이 취약점은 공격자가 비밀번호 검증을 우회하고 일부 Linux 시스템에서 높은 권한을 가진 계정에 무단으로 접근할 수 있게 합니다. 문제에 대한 첫 보고서는 2026년 11월 5일에 나타났고, 며칠 후 연구자들은 실제 공격을 발견했습니다.

이 취약점은 안전한 원격 접속을 위한 소프트웨어인 OpenSSH와 여러 Linux 배포판에서 사용되는 musl 라이브러리 간의 상호작용과 관련이 있습니다. 가장 주목할 만한 위험은 Alpine Linux의 특정 구성에서 확인되었습니다.

연구자들이 *sshole을 이용한 공격을 발견하다

11월 9일, 사이버 보안 회사 GreyNoise는 동남아시아에 위치한 특수 연구 시스템에 대한 공격을 보고했습니다. 이러한 시스템은 공격자의 행동을 식별하고 분석하는 데 사용됩니다.

연구자들은 이 활동을 GT10으로 지정된 그룹과 연결했습니다. 조사 중에 전문가들은 원격 명령 실행, 장치 정보 수집 및 시스템 접근 유지에 사용되는 악성코드 TAC 에이전트를 발견했습니다.

공격자들은 또한 프로그램이 이 런타임 환경을 사용하기 때문에 Python 3이 없는 장치에 설치를 시도했습니다. TAC 에이전트 코드에서 연구자들은 중국어로 된 주석과 인공지능 응용의 가능성을 나타내는 징후를 발견했습니다. 그룹 구성원의 출신은 확인되지 않았습니다.

Previdian 회사는 독립적으로 9개국에 위치한 13개의 고유한 IP 주소로부터의 취약점 악용 시도를 20회 기록했습니다. watchTowr의 연구자들도 봇넷 및 암호화폐 운영과 관련된 활동을 보고했습니다.

어떤 Linux 시스템이 위험에 처해 있는가

이 취약점은 PAM 인증 메커니즘을 사용하지 않고 musl 라이브러리와 함께 작동하는 OpenSSH의 특정 구성에 영향을 미칩니다.

악용은 비밀번호 검증 설정 및 시스템 계정과 관련된 추가 조건의 동시 충족을 필요로 합니다. 인증 데이터 처리 오류는 서버가 잘못된 검증 결과를 로그인 허가로 받아들이게 할 수 있습니다.

주로 위험에 처한 시스템은 SSH를 통해 원격 연결이 가능한 잘못 구성되었거나 패치되지 않은 시스템입니다. 그러나 Linux 또는 OpenSSH의 사용 자체가 취약점의 존재를 의미하지는 않습니다.

OpenSSH 개발자들은 11월 5일에 버전 10.6p2에서 수정 사항을 발표했습니다. 업데이트된 패키지는 Alpine Linux 버전 3.21–3.24에서도 사용할 수 있습니다.

영향을 받은 시스템의 관리자들은 패치를 설치하고 SSH 서비스를 재시작할 것을 권장합니다. 업데이트가 아직 불가능한 경우, Alpine Linux 개발자들은 다른 접근 방법의 기능을 확인한 후 비밀번호 로그인을 일시적으로 비활성화할 것을 권장합니다.

성공적으로 공격된 장치의 정확한 수는 아직 알려지지 않았습니다. 탐지된 활동은 공격자에 의한 취약점 사용을 확인하지만, Linux 시스템의 전체적인 손상 규모를 결정할 수는 없습니다.