القراصنة يستغلون ثغرة OpenSSH الجديدة الملقبة بـ«SSHole» لاختراق أنظمة Alpine Linux

بدأ المهاجمون استغلال ثغرة حديثة الاكتشاف في OpenSSH تتيح تجاوز المصادقة خلال ساعات من نشر كود إثبات المفهوم (PoC) علنًا، وحدث أول اختراق ناجح مؤكد بعد 40 ساعة فقط من إصدار الترقيع. هذه الثغرة، المسجلة برقم CVE-2026-123158 والملقبة بـ«SSHole»، تتيح للمهاجم تسجيل الدخول إلى حسابات كان من المفترض أن تكون المصادقة بكلمة المرور معطلة فيها تمامًا.

يكمن الخلل في طريقة تفاعل OpenSSH مع مكتبة musl libc، وهي مكتبة C خفيفة الوزن تستخدمها Alpine Linux وتوزيعات أخرى مبسطة تشكل الأساس لحصة كبيرة من صور الحاويات في منصات الحوسبة السحابية. عند استخدام كلمة مرور كبيرة الحجم بشكل غير معتاد في محاولة تسجيل الدخول، تُعيد دالة تجزئة كلمة المرور في musl رمز خطأ يتمثل في حرف واحد هو «*» — وهي القيمة نفسها المخزنة في ملف shadow للحسابات التي تم تعطيل تسجيل الدخول بكلمة المرور فيها. يعتبر OpenSSH هذا التطابق صالحًا، مما يفتح للمهاجم طريقًا للدخول إلى حسابات لم يكن من المفترض أصلاً الوصول إليها عبر كلمة المرور.

يتطلب استغلال هذه الثغرة إعدادًا محددًا — أنظمة مبنية على musl مع تعطيل مصادقة PAM — لذا فإن جميع خوادم Linux ليست عرضة للخطر. لكن بساطة Alpine وخفتها جعلتاها صورة الأساس الافتراضية لجزء كبير من حاويات Docker وأحمال عمل Kubernetes، مما يعني أن هذا الإعداد المتأثر أكثر شيوعًا بكثير في البنية التحتية السحابية الحديثة مما توحي به درجة خطورة CVSS البالغة 8.1 وحدها. كما يصبح الوصول بصلاحيات root ممكنًا إذا كان الحساب المخترق يملك صلاحيات إدارية دون كلمة مرور.

أصدر فريق OpenSSH تصحيحًا لهذه المشكلة في الإصدار 10.6p2 بتاريخ 5 نوفمبر. وظهر كود إثبات المفهوم العلني في اليوم نفسه، وبدأت محاولات الاستغلال على الفور تقريبًا. ووفقًا لشركة استخبارات التهديدات GreyNoise، وقع أول اختراق ناجح مؤكد في العالم الحقيقي في 7 نوفمبر الساعة 00:46 بتوقيت UTC — أي بعد نحو يوم ونصف من إصدار الترقيع — مع رصد 16 سلسلة استغلال ناجحة من ستة عناوين IP مصدر، وهي أرقام تحذر GreyNoise من أنها على الأرجح أقل من الحجم الفعلي للنشاط. من جهة أخرى، سجل باحثو شركة Previdian 20 محاولة استغلال من 13 عنوان IP في تسع دول، بينما ربطت شركة WatchTower بعض هذا النشاط بعمليات بوت‌نت وتعدين عملات رقمية قائمة. وأبلغت شركة Defused عن عدد أقل من الجهات الفاعلة المتمايزة مع نشاط لاحق محدود.

بعد الاختراق، لوحظ أن المهاجمين ينفذون أوامر استطلاع، ويستعلمون عن خدمات البيانات الوصفية السحابية (أسلوب شائع لجمع بيانات اعتماد السحابة)، ويحاولون قراءة تجزئات كلمات المرور ومفاتيح SSH الخاصة بـ root، ويعدّلون ملفات authorized_keys للحفاظ على وصول دائم. وفي حالة واحدة على الأقل، نشر أحد المهاجمين أداة قيادة وتحكم مخصصة مكتوبة بلغة Python تُدعى TAC Agent — رغم أن هذا الغرس لم يتلقَّ أي أمر في تلك الحالة لأن خادم القيادة والتحكم الخاص به كان غير قابل للوصول، بحسب ما ذكرته BleepingComputer.

الفجوة الزمنية التي تبلغ نحو 40 ساعة بين إصدار الترقيع والاستغلال المؤكد في العالم الحقيقي تتسق مع نمط أشار إليه باحثو الأمن مرارًا خلال عام 2026: بمجرد نشر كود إثبات المفهوم لثغرة تجاوز مصادقة علنًا، عادةً ما يبدأ المسح الجماعي والاستغلال خلال يوم إلى يومين، مما يترك للمدافعين نافذة ضيقة لتطبيق الترقيع قبل وصول الهجمات الآلية.

يجب على مسؤولي الأنظمة التي تعمل بتوزيعات مبنية على musl، لا سيما عمليات نشر Alpine Linux في البيئات السحابية أو المعتمدة على الحاويات، الترقية فورًا إلى OpenSSH 10.6p2. وفي الحالات التي يتعذر فيها تطبيق الترقيع فورًا، فإن تعطيل مصادقة كلمة المرور في SSH بالكامل يغلق هذه الثغرة. كما ينبغي على فرق الأمن تدقيق السجلات بحثًا عن عمليات تسجيل دخول ناجحة غير متوقعة بكلمة مرور في حسابات يكون فيها حقل كلمة المرور في shadow مضبوطًا على علامة نجمية، والتحقق من وجود إدخالات غير مصرح بها في ملفات authorized_keys، والبحث عن أي أثر لـ TAC Agent أو خدمات بدء تشغيل غريبة مشابهة.