Hacker nutzen neue OpenSSH-Lücke „SSHole“ aus, um in Alpine-Linux-Systeme einzudringen

Angreifer begannen innerhalb weniger Stunden nach Veröffentlichung eines Proof-of-Concept (PoC) mit der Ausnutzung einer neu entdeckten OpenSSH-Schwachstelle zur Umgehung der Authentifizierung, und der erste bestätigte erfolgreiche Einbruch ereignete sich bereits 40 Stunden nach Veröffentlichung des Patches. Die als CVE-2026-123158 erfasste und „SSHole“ genannte Schwachstelle erlaubt es Angreifern, sich bei Konten anzumelden, bei denen die Passwortauthentifizierung eigentlich vollständig deaktiviert sein sollte.

Der Fehler liegt darin, wie OpenSSH mit musl libc interagiert, der schlanken C-Bibliothek, die von Alpine Linux und anderen minimalistischen Distributionen genutzt wird, welche einen Großteil der Container-Basis-Images auf Cloud-Plattformen stellen. Wenn bei einem Anmeldeversuch ein übergroßes Passwort verwendet wird, gibt die Passwort-Hash-Funktion von musl einen Fehler zurück, dargestellt durch das einzelne Zeichen „*“ — denselben Platzhalterwert, der in der shadow-Datei für Konten gespeichert ist, bei denen die Passwort-Anmeldung deaktiviert ist. OpenSSH behandelt diese Übereinstimmung als gültig und öffnet damit einen Zugangsweg zu Konten, die eigentlich überhaupt nicht per Passwort erreichbar sein sollten.

Die Ausnutzung dieser Schwachstelle erfordert eine spezifische Konfiguration — musl-basierte Systeme mit deaktivierter PAM-Authentifizierung —, weshalb nicht jeder Linux-Server betroffen ist. Doch die Schlankheit von Alpine hat die Distribution zum Standard-Basis-Image für einen enormen Anteil von Docker-Containern und Kubernetes-Workloads gemacht, was bedeutet, dass diese betroffene Konfiguration in Cloud-nativer Infrastruktur weitaus verbreiteter ist, als der CVSS-Schweregrad von 8,1 allein vermuten lässt. Root-Zugriff wird möglich, wenn das kompromittierte Konto über passwortlose Administratorrechte verfügt.

Das OpenSSH-Team veröffentlichte am 5. November einen Fix in Version 10.6p2. Noch am selben Tag erschien ein öffentlicher Proof-of-Concept, und Ausnutzungsversuche begannen fast sofort. Laut dem Threat-Intelligence-Unternehmen GreyNoise ereignete sich der erste bestätigte erfolgreiche Einbruch in freier Wildbahn am 7. November um 00:46 UTC — etwa anderthalb Tage nach Veröffentlichung des Patches —, wobei 16 erfolgreiche Angriffsketten auf sechs Quell-IP-Adressen zurückverfolgt wurden; Zahlen, die laut GreyNoise das tatsächliche Ausmaß der Aktivität wahrscheinlich unterschätzen. Forscher von Previdian registrierten unterdessen 20 Ausnutzungsversuche von 13 IP-Adressen aus neun Ländern, während WatchTower einen Teil der Aktivität mit bestehenden Botnetz- und Krypto-Mining-Operationen in Verbindung brachte. Defused meldete eine kleinere Zahl unterschiedlicher Akteure mit begrenzter Weiterverfolgung.

Nach dem Einbruch wurde beobachtet, dass Angreifer Aufklärungsbefehle ausführen, Cloud-Metadatendienste abfragen (eine gängige Technik zum Abgreifen von Cloud-Zugangsdaten), versuchen, Passwort-Hashes und Root-SSH-Schlüssel auszulesen, und authorized_keys-Dateien verändern, um dauerhaften Zugriff zu sichern. In mindestens einem Fall setzte ein Angreifer ein maßgeschneidertes, Python-basiertes Command-and-Control-Tool namens TAC Agent ein — wobei das Implantat in diesem Fall nie Anweisungen erhielt, da sein C2-Server nicht erreichbar war, wie BleepingComputer berichtete.

Die rund 40-stündige Lücke zwischen Patch-Veröffentlichung und bestätigter Ausnutzung in freier Wildbahn passt zu einem Muster, auf das Sicherheitsforscher im Laufe des Jahres 2026 wiederholt hingewiesen haben: Sobald ein Proof-of-Concept für eine Authentifizierungs-Umgehungslücke öffentlich wird, beginnen massenhaftes Scannen und Ausnutzung in der Regel innerhalb von ein bis zwei Tagen — und lassen Verteidigern nur ein sehr schmales Zeitfenster, um zu patchen, bevor automatisierte Angriffe eintreffen.

Administratoren von musl-basierten Systemen, insbesondere Alpine-Linux-Einsätzen in Container- oder Cloud-Umgebungen, sollten umgehend auf OpenSSH 10.6p2 aktualisieren. Wo ein sofortiges Patchen nicht möglich ist, schließt eine vollständige Deaktivierung der SSH-Passwortauthentifizierung die Lücke. Sicherheitsteams sollten zudem Protokolle auf unerwartete erfolgreiche Passwort-Anmeldungen bei Konten überprüfen, deren shadow-Passwortfeld auf ein Sternchen gesetzt ist, nicht autorisierte Einträge in authorized_keys-Dateien kontrollieren und nach jeglichen Spuren von TAC Agent oder ähnlichen unbekannten Startdiensten suchen.