هکرها از آسیب‌پذیری جدید OpenSSH با نام «SSHole» برای نفوذ به سیستم‌های Alpine Linux سوءاستفاده می‌کنند

مهاجمان تنها چند ساعت پس از انتشار عمومی کد اثبات مفهوم (PoC) یک آسیب‌پذیری تازه‌کشف‌شده در OpenSSH که امکان دور زدن احراز هویت را فراهم می‌کند، بهره‌برداری از آن را آغاز کردند و نخستین نفوذ موفق تأییدشده تنها ۴۰ ساعت پس از انتشار وصله رخ داد. این آسیب‌پذیری که با شناسه CVE-2026-123158 ثبت شده و نام مستعار «SSHole» دارد، به مهاجم اجازه می‌دهد به حساب‌هایی وارد شود که قرار بود ورود با رمز عبور برای آن‌ها کاملاً غیرفعال باشد.

ریشه‌ی این باگ در نحوه‌ی تعامل OpenSSH با musl libc است؛ کتابخانه‌ی سبک C که در Alpine Linux و دیگر توزیع‌های کمینه‌ای که پایه‌ی اصلی ایمیج‌های کانتینر در پلتفرم‌های ابری هستند استفاده می‌شود. هنگامی که تلاش برای ورود از رمز عبوری بیش‌ازحد بزرگ استفاده کند، تابع هش رمز عبور در musl خطایی را با تک‌کاراکتر «*» بازمی‌گرداند؛ همان مقدار جایگزینی که در فایل shadow برای حساب‌هایی که ورود با رمز عبور برای آن‌ها غیرفعال شده ذخیره می‌شود. OpenSSH این تطابق را معتبر تلقی می‌کند و درنتیجه راهی برای ورود به حساب‌هایی باز می‌شود که اصلاً نباید از طریق رمز عبور در دسترس باشند.

بهره‌برداری از این آسیب‌پذیری به پیکربندی خاصی نیاز دارد — سیستم‌های مبتنی بر musl با احراز هویت PAM غیرفعال — بنابراین همه‌ی سرورهای Linux در معرض خطر نیستند. اما سبکی و کمینه‌بودن Alpine آن را به ایمیج پایه‌ی پیش‌فرض بخش بزرگی از کانتینرهای Docker و بارهای کاری Kubernetes تبدیل کرده است، به‌این‌معنا که این پیکربندی آسیب‌پذیر در زیرساخت‌های ابری-بومی بسیار رایج‌تر از چیزی است که امتیاز شدت CVSS برابر با ۸.۱ به‌تنهایی نشان می‌دهد. در صورتی که حساب نفوذشده دارای دسترسی مدیریتی بدون رمز عبور باشد، دسترسی root نیز امکان‌پذیر است.

تیم OpenSSH وصله‌ی این مشکل را در نسخه‌ی ۱۰.۶p2 در تاریخ ۵ نوامبر منتشر کرد. کد اثبات مفهوم عمومی در همان روز منتشر شد و تلاش‌های بهره‌برداری تقریباً بلافاصله آغاز شدند. به گفته‌ی شرکت اطلاعات تهدید GreyNoise، نخستین نفوذ موفق تأییدشده در دنیای واقعی در ۷ نوامبر ساعت ۰۰:۴۶ به‌وقت UTC رخ داد — حدود یک‌ونیم روز پس از انتشار وصله — و ۱۶ زنجیره‌ی بهره‌برداری موفق از شش آدرس IP منبع ردیابی شد؛ اعدادی که به گفته‌ی GreyNoise احتمالاً دامنه‌ی واقعی فعالیت را کمتر از حد واقعی نشان می‌دهند. جدا از آن، پژوهشگران شرکت Previdian ۲۰ تلاش برای بهره‌برداری از ۱۳ آدرس IP در ۹ کشور ثبت کردند، درحالی‌که شرکت WatchTower بخشی از این فعالیت‌ها را به عملیات موجود بات‌نت و استخراج ارز دیجیتال مرتبط دانست. شرکت Defused نیز تعداد کمتری از عاملان متمایز با پیگیری محدود گزارش کرد.

پس از نفوذ، مشاهده شده که مهاجمان دستورهای شناسایی را اجرا می‌کنند، از سرویس‌های متادیتای ابری استعلام می‌گیرند (روشی رایج برای برداشت اعتبارنامه‌های ابری)، تلاش می‌کنند هش رمزهای عبور و کلیدهای SSH کاربر root را بخوانند، و فایل‌های authorized_keys را برای حفظ دسترسی پایدار تغییر می‌دهند. دست‌کم در یک مورد، مهاجمی ابزار فرماندهی و کنترل سفارشی مبتنی بر Python با نام TAC Agent مستقر کرد — هرچند در آن مورد، این implant هرگز دستوری دریافت نکرد زیرا سرور C2 آن در دسترس نبود، طبق گزارش BleepingComputer.

فاصله‌ی حدوداً ۴۰ ساعته میان انتشار وصله و بهره‌برداری تأییدشده در دنیای واقعی، با الگویی که پژوهشگران امنیتی بارها در طول سال ۲۰۲۶ به آن اشاره کرده‌اند هم‌خوانی دارد: به‌محض انتشار عمومی کد اثبات مفهوم برای یک آسیب‌پذیری دور زدن احراز هویت، اسکن گسترده و بهره‌برداری معمولاً ظرف یک تا دو روز آغاز می‌شود و زمان بسیار کمی برای مدافعان باقی می‌گذارد تا پیش از آغاز حملات خودکار وصله را اعمال کنند.

مدیران سیستم‌هایی که از توزیع‌های مبتنی بر musl استفاده می‌کنند، به‌ویژه استقرارهای Alpine Linux در محیط‌های کانتینری یا ابری، باید فوراً به نسخه‌ی OpenSSH 10.6p2 ارتقا دهند. در مواردی که اعمال فوری وصله ممکن نیست، غیرفعال‌کردن کامل احراز هویت با رمز عبور در SSH این حفره را می‌بندد. تیم‌های امنیتی همچنین باید لاگ‌ها را برای یافتن ورودهای موفق غیرمنتظره با رمز عبور در حساب‌هایی که فیلد رمز عبور shadow آن‌ها برابر با ستاره است بررسی کنند، ورودی‌های غیرمجاز در فایل‌های authorized_keys را بازبینی کنند و هرگونه ردی از TAC Agent یا سرویس‌های راه‌انداز ناآشنای مشابه را جست‌وجو کنند.