OpenSSH'deki SSHole açığı saldırılarda kullanılıyor: parola olmadan oturum açılabiliyor

CVE-2026-123158 kodlu SSHole açığı, 10.6p2 sürümünden yaklaşık 40 saat sonra gerçek saldırılarda görüldü; musl kullanan ve PAM olmayan sistemler en çok riskte.

OpenSSH'de yakın zamanda yamanan ve SSHole adıyla anılan CVE-2026-123158 açığı artık gerçek saldırılarda kullanılıyor. Risk en çok OpenSSH'yi musl C kütüphanesiyle birlikte çalıştıran ve PAM kullanmayan sistemlerde yüksek. Açık, parola ile giriş yapılmaması gereken hesaplara, örneğin Alpine'deki root hesabına, herkesin erişmesine izin veriyor: musl'ün parola özetleme rutini çok uzun parolaları yanlış işliyor ve saldırgan bu parolayı göndererek girişi sağlayabiliyor. Açık, 257 ile 1024 karakter arasındaki herhangi bir parolayla kullanılabiliyor.

Kötüye kullanım 5 Kasım'da, kavram kanıtı kodunun ortaya çıktığı gün başladı. GreyNoise, ilk başarılı saldırıyı 7 Kasım'da 00:46 UTC'de kaydetti; bu, OpenSSH 10.6p2 düzeltmesinin yayımlanmasından yaklaşık 40 saat sonrasına denk geliyor. Previdian sensörleri dokuz ülkeden 13 ayrı saldırgan IP adresinden 20 deneme gözlemledi.

Gözlemlenen kampanyalar botnet ve kripto madenciliği saldırılarından, GreyNoise'ın GT10 olarak izlediği bir gruba kadar uzanıyor. Bu grup keşif yaptı, parola özetlerini ve root SSH anahtarlarını okumaya çalıştı ve kalıcılık için Python tabanlı bir komuta kontrol ajanı yerleştirdi. GreyNoise'ın gördüğü saldırılardan birinde saldırgan root yetkisi aldı ve TAC Agent adlı ajanı kurdu, ancak ajan hiçbir görev almadı. GT10'un kullandığı arka kapı kodunda Çince yorumlar bulunuyor ve yapay zekâyla üretilmiş görünüyor.

Yöneticilerin yapması gerekenler açık: OpenSSH 10.6p2 sürümüne geçmek ya da parola kimlik doğrulamasını kapatmak. Ayrıca gölge dosyasındaki parola alanı yıldız olan hesaplarda beklenmedik parola girişlerini, yetkisiz authorized_keys kayıtlarını ve tanıdık olmayan başlangıç servislerini kontrol etmek gerekiyor.