黑客开始利用OpenSSH漏洞攻击Linux系统

网络安全专家记录到对漏洞CVE-2026-123158（称为*sshole）的积极利用。该漏洞允许攻击者绕过密码验证，未经授权访问某些Linux系统上的高级权限账户。该问题的首次报告出现在2026年11月5日，几天后，研究人员发现了真实的攻击。

该漏洞与OpenSSH（用于安全远程访问的软件）和在多个Linux发行版中使用的musl库之间的交互有关。最显著的风险已在某些Alpine Linux配置中被识别。

研究人员发现使用*sshole的攻击

11月9日，网络安全公司GreyNoise报告了对位于东南亚的特殊研究系统的攻击。这些系统用于识别和分析攻击者的行为。

研究人员将该活动与一个被指定为GT10的组织联系起来。在调查过程中，专家发现了名为TAC Agent的恶意软件，该软件用于远程命令执行、设备信息收集和维护系统访问。

攻击者还试图在缺少Python 3的设备上安装该程序，因为该程序使用此运行时环境。在TAC Agent代码中，研究人员发现了中文评论和可能在其创建中应用人工智能的迹象。尚未确定该组织成员的来源。

公司Previdian独立记录了来自9个国家的13个唯一IP地址的20次利用漏洞的尝试。watchTowr的研究人员也报告了与僵尸网络和加密货币操作相关的活动。

哪些Linux系统面临风险

该漏洞影响与musl库一起工作的OpenSSH的某些配置，而不使用PAM认证机制。

利用该漏洞需要同时满足与密码验证设置和系统账户相关的附加条件。处理认证数据的错误可能导致服务器将错误的验证结果接受为登录许可。

主要面临风险的是配置不当或未打补丁的系统，这些系统可以通过SSH进行远程连接。然而，仅使用Linux或OpenSSH并不意味着存在漏洞。

OpenSSH开发人员在11月5日发布了10.6p2版本的修复程序。更新的包也适用于Alpine Linux，包括版本3.21–3.24。

受影响系统的管理员建议安装补丁并重启SSH服务。如果尚无法更新，Alpine Linux开发人员建议在验证其他访问方法的功能后暂时禁用密码登录。

成功攻击的设备确切数量仍然未知。检测到的活动证实了攻击者对漏洞的利用，但无法确定Linux系统妥协的整体规模。