Хакеры начали использовать уязвимость OpenSSH для взлома Linux-систем

Специалисты по кибербезопасности зафиксировали активную эксплуатацию уязвимости CVE-2026-123158, известной под названием *sshole. Она позволяет злоумышленникам обходить проверку пароля и получать несанкционированный доступ к учетным записям с повышенными привилегиями на некоторых Linux-системах. Первые сообщения о проблеме появились 5 ноября 2026 года, а спустя несколько дней исследователи обнаружили реальные атаки.

Уязвимость связана с взаимодействием OpenSSH, программного обеспечения для защищенного удаленного доступа, и библиотеки musl, используемой в ряде дистрибутивов Linux. Наиболее заметный риск выявлен для отдельных конфигураций Alpine Linux.

Исследователи обнаружили атаки с использованием *sshole

9 ноября компания по кибербезопасности GreyNoise сообщила об атаках на специальные исследовательские системы, размещенные в Юго-Восточной Азии. Такие системы используются для выявления и анализа действий злоумышленников.

Исследователи связали активность с группой, получившей обозначение GT10. В ходе расследования специалисты обнаружили вредоносную программу TAC Agent, предназначенную для удаленного выполнения команд, сбора информации об устройстве и сохранения доступа к системе.

Злоумышленники также пытались устанавливать Python 3 на устройства, где он отсутствовал, поскольку программа использует эту среду выполнения. В коде TAC Agent исследователи обнаружили комментарии на китайском языке и признаки возможного применения искусственного интеллекта при его создании. Происхождение участников группы не установлено.

Компания Previdian независимо зафиксировала 20 попыток эксплуатации уязвимости с 13 уникальных IP-адресов, расположенных в 9 странах. Исследователи watchTowr также сообщили об активности, связанной с ботнетами и криптовалютными операциями.

Какие Linux-системы находятся под угрозой

Уязвимость затрагивает определенные конфигурации OpenSSH, работающие с библиотекой musl без использования механизма аутентификации PAM.

Для эксплуатации необходимо одновременное выполнение дополнительных условий, связанных с настройками проверки паролей и учетными записями системы. Ошибка при обработке данных аутентификации может привести к тому, что сервер примет некорректный результат проверки за разрешение на вход.

Под угрозой находятся прежде всего неправильно настроенные или не обновленные системы, доступные для удаленного подключения через SSH. При этом использование Linux или OpenSSH само по себе не означает наличия уязвимости.

Разработчики OpenSSH выпустили исправление 5 ноября в версии 10.6p2. Обновленные пакеты также доступны для Alpine Linux, включая версии 3.21–3.24.

Администраторам затронутых систем рекомендуется установить исправления и перезапустить службу SSH. Если обновление пока невозможно, разработчики Alpine Linux советуют временно отключить вход по паролю после проверки работоспособности другого способа доступа.

Точное количество устройств, подвергшихся успешным атакам, пока неизвестно. Обнаруженная активность подтверждает использование уязвимости злоумышленниками, однако не позволяет определить общий масштаб компрометации Linux-систем.