Уязвимость SSHole в OpenSSH начали эксплуатировать менее чем через девять часов после её раскрытия. Исследователи зафиксировали реальные попытки атак и подтвердили успешное получение прав root на сервере-приманке с Alpine Linux. Злоумышленники уже перешли от проверки ошибки к попыткам проникновения.
Первые признаки эксплуатации CVE-2026-123158 обнаружила компания Previdian, отслеживающая активность злоумышленников с помощью сети специальных серверов-ловушек. Первоначально исследователи зарегистрировали восемь попыток с одного IP-адреса в Японии. Позднее телеметрия расширилась до 15 попыток с 10 уникальных IP-адресов из восьми стран. Подозрительную активность зафиксировали четыре сенсора.
Один из атакующих использовал адрес 89.116.89.18. Он отправлял на SSH-сервер необычно длинные пароли, рассчитывая обойти проверку учётных данных. После успешного подключения выполнялись команды id, uname и hostname, позволяющие узнать права пользователя, версию системы и имя компьютера. Все действия происходили через неинтерактивные SSH-сеансы, без открытия обычной командной оболочки.
Самым серьёзным результатом стала успешная атака на ловушку Previdian, работавшую под управлением настоящей Alpine Linux с OpenSSH. Злоумышленник получил права root, то есть полный административный доступ к системе. Исследователи подтвердили результат, однако пока неизвестно, удалось ли атакующим аналогичным образом проникнуть на рабочие серверы реальных организаций.
Особенно настораживает скорость развития событий. Идентификатор CVE-2026-123158 опубликовали 5 ноября в 15:46 UTC, а первые попытки эксплуатации появились уже 6 ноября около 00:05 UTC. Между раскрытием информации и обнаруженной атакой прошло примерно восемь часов и девятнадцать минут. Для подготовки не потребовались недели исследований или сложные инструменты, поскольку механизм обхода аутентификации сравнительно прост.
Как рассказал основатель Previdian Райан Дьюхерст, злоумышленники воспользовались возможностью отправлять слишком длинные пароли для обхода проверки подлинности. По его оценке, простота эксплуатации существенно сократила время между публикацией сведений об ошибке и появлением атак. При этом наблюдаемая активность пока не позволяет оценить общий масштаб происходящего в интернете.
Саму уязвимость SSHole обнаружили в начале ноября. Проблема затрагивает определённые конфигурации OpenSSH на Linux с библиотекой musl без PAM. Из-за ошибки обработки пароля сервер может разрешить доступ к учётной записи, которая вообще не должна принимать парольную аутентификацию. На некоторых облачных образах Alpine Linux последующее повышение привилегий позволяет получить полный контроль над машиной.
Появление подтверждённых атак меняет приоритет исправления. Раньше администраторам приходилось учитывать теоретическую возможность эксплуатации, теперь существуют наблюдаемые попытки проникновения и успешный результат на исследовательском сервере. Previdian уже включила CVE-2026-123158 в собственный перечень эксплуатируемых уязвимостей. В официальный каталог CISA KEV на момент проверки проблема ещё не попала.
Для защиты разработчики выпустили OpenSSH 10.6p2. Владельцам затронутых систем необходимо установить исправление и обязательно перезапустить службу sshd. Простого обновления пакета недостаточно, поскольку уже запущенный процесс продолжит использовать уязвимый код. Если немедленное обновление невозможно, временной мерой станет отключение входа по паролю через параметр PasswordAuthentication no с последующим перезапуском службы.
Разработчики Alpine Linux также советуют проверить журналы /var/log/messages на сообщения Accepted password for, особенно для пользователей, которым вход по паролю запрещён. Подозрения должны вызывать неожиданные успешные подключения, использование doas, появление новых учётных записей и изменения файлов authorized_keys. Если исключить посторонний доступ не удаётся, систему рекомендуется считать потенциально скомпрометированной.
Дополнительный риск создаёт появление публичных демонстрационных эксплойтов. На GitHub уже размещены проекты, заявляющие поддержку CVE-2026-123158, однако работоспособность некоторых из них не проверена. Исследователи предупреждают, что среди подобных публикаций может встречаться вредоносный код. Пока подтверждённые наблюдения ограничены сравнительно небольшим числом попыток, но эксплуатация началась практически сразу после раскрытия ошибки.