Des pirates exploitent une nouvelle faille OpenSSH baptisée « SSHole » pour s'introduire dans des systèmes Alpine Linux

Les attaquants ont commencé à exploiter une faille OpenSSH récemment révélée, permettant de contourner l'authentification, quelques heures seulement après la publication d'une preuve de concept (PoC), et la première compromission réussie confirmée est survenue à peine 40 heures après la sortie du correctif. Cette vulnérabilité, répertoriée sous le nom CVE-2026-123158 et surnommée « SSHole », permet à un attaquant de se connecter à des comptes dont l'authentification par mot de passe était censée être entièrement désactivée.

Le bug réside dans la manière dont OpenSSH interagit avec musl libc, la bibliothèque C légère utilisée par Alpine Linux et d'autres distributions minimalistes qui dominent les images de base des conteneurs sur les plateformes cloud. Lorsqu'une tentative de connexion utilise un mot de passe anormalement long, la fonction de hachage de mot de passe de musl renvoie une erreur représentée par un seul caractère, « * », soit la même valeur de remplacement stockée dans le fichier shadow pour les comptes dont la connexion par mot de passe est désactivée. OpenSSH considère cette correspondance comme valide, ouvrant ainsi une porte d'entrée vers des comptes qui n'étaient censés être accessibles par mot de passe en aucun cas.

L'exploitation de cette faille nécessite une configuration spécifique — des systèmes basés sur musl avec l'authentification PAM désactivée — tous les serveurs Linux ne sont donc pas exposés. Mais la légèreté d'Alpine en a fait l'image de base par défaut d'une part énorme des conteneurs Docker et des charges de travail Kubernetes, ce qui signifie que cette configuration concernée est bien plus répandue dans les infrastructures cloud-natives que ne le laisse supposer le seul score de gravité CVSS de 8,1. Un accès root devient possible si le compte compromis dispose de privilèges administratifs sans mot de passe.

L'équipe OpenSSH a publié un correctif dans la version 10.6p2 le 5 novembre. Une preuve de concept publique est apparue le jour même, et les tentatives d'exploitation ont commencé presque immédiatement. Selon la société de renseignement sur les menaces GreyNoise, la première compromission réussie confirmée dans le monde réel a eu lieu le 7 novembre à 00h46 UTC — environ un jour et demi après la sortie du correctif — avec 16 chaînes d'exploitation réussies tracées jusqu'à six adresses IP sources, des chiffres que GreyNoise juge probablement inférieurs à l'ampleur réelle de l'activité. De leur côté, les chercheurs de Previdian ont recensé 20 tentatives d'exploitation depuis 13 adresses IP dans neuf pays, tandis que WatchTower a relié une partie de cette activité à des opérations de botnets et de minage de cryptomonnaies déjà existantes. Defused a signalé un nombre plus restreint d'acteurs distincts avec un suivi limité.

Une fois à l'intérieur, les attaquants ont été observés exécutant des commandes de reconnaissance, interrogeant des services de métadonnées cloud (une technique courante pour récolter des identifiants cloud), tentant de lire les hachages de mots de passe et les clés SSH root, et modifiant les fichiers authorized_keys pour maintenir un accès persistant. Dans au moins un cas, un attaquant a déployé un outil de commande et de contrôle personnalisé en Python appelé TAC Agent — bien que dans ce cas précis, l'implant n'ait jamais reçu d'instructions car son serveur C2 était inaccessible, selon BleepingComputer.

L'écart d'environ 40 heures entre la sortie du correctif et l'exploitation confirmée dans le monde réel correspond à un schéma que les chercheurs en sécurité ont signalé à plusieurs reprises tout au long de 2026 : dès qu'une preuve de concept pour une faille de contournement d'authentification est publiée, le balayage massif et l'exploitation démarrent généralement en un à deux jours, laissant aux défenseurs une fenêtre très étroite pour appliquer le correctif avant l'arrivée d'attaques automatisées.

Les administrateurs de systèmes basés sur musl, en particulier les déploiements Alpine Linux dans des environnements conteneurisés ou cloud, doivent immédiatement mettre à jour vers OpenSSH 10.6p2. Lorsqu'un correctif immédiat n'est pas possible, désactiver entièrement l'authentification par mot de passe SSH referme cette faille. Les équipes de sécurité devraient également auditer les journaux à la recherche de connexions par mot de passe réussies de façon inattendue sur des comptes dont le champ de mot de passe shadow est réglé sur un astérisque, vérifier la présence d'entrées non autorisées dans les fichiers authorized_keys, et rechercher toute trace de TAC Agent ou de services de démarrage inconnus similaires.