Хакери обходять паролі Linux за допомогою SSHole, CISA підтвердила реальні атаки

Хакери вже використовують критичну вразливість SSHole, яка дозволяє обходити автентифікацію в окремих системах Linux за допомогою довільного пароля завдовжки понад 256 символів. Агентство кібербезпеки США CISA підтвердило активну експлуатацію проблеми, через яку зловмисники можуть отримати доступ до системних облікових записів, а за певних умов навіть повністю захопити сервер.

Агентство з кібербезпеки та захисту інфраструктури США (CISA) додало вразливість SSHole, зареєстровану як CVE-2026-123158, до каталогу Known Exploited Vulnerabilities (KEV). Це означає, що проблему вже використовують у реальних атаках, а не лише демонструють у лабораторних умовах. Федеральні установи США зобов’язані застосувати необхідні заходи захисту до 12 листопада 2026 року.

Вразливість отримала оцінку 8,1 бала з 10 за шкалою CVSS і зачіпає системи, у яких OpenSSH працює з бібліотекою musl без використання PAM для автентифікації. Серед потенційно вразливих платформ Alpine Linux, OpenWrt, Buildroot, Yocto та інші спеціалізовані дистрибутиви Linux. Такі системи широко застосовують у контейнерах, маршрутизаторах, IoT-пристроях, вбудованому обладнанні та серверній інфраструктурі.

Для експлуатації SSHole зловмиснику достатньо мати мережевий доступ до SSH-сервісу вразливої системи. За певної конфігурації довільний пароль завдовжки від 257 до 1024 символів може пройти перевірку для облікових записів із заблокованим паролем, зокрема системних користувачів. Якщо атакувальник отримує привілеї root, він фактично здобуває повний контроль над пристроєм. Проблему виявив дослідник кібербезпеки Özgün Kültekin, який оприлюднив її на початку листопада. Інформація швидко привернула увагу фахівців, оскільки вразливість зачіпає поширене програмне забезпечення для віддаленого адміністрування Linux-систем, а її використання не потребує знання справжнього пароля.

Майже 30 мільйонів SSH-з’єднань потрапили під моніторинг

Активну експлуатацію SSHole підтвердили й незалежні компанії з кібербезпеки. За даними GreyNoise, система моніторингу зафіксувала шість IP-адрес, пов’язаних з атаками, та 20 випадків активності після експлуатації вразливості. Загалом дослідники проаналізували майже 30 мільйонів спроб SSH-з’єднань, хоча це число не означає, що всі вони були атаками через SSHole.

Фахівці SANS Internet Storm Center також виявили сканування систем на наявність цієї вразливості та попередили про збільшення кількості спроб її використання. Це свідчить про те, що зловмисники вже активно шукають доступні через інтернет пристрої, на яких можна обійти механізми автентифікації. Особливу небезпеку становить простота атаки. На вразливих системах, які відповідають необхідним умовам, достатньо передати довгий рядок символів замість пароля, щоб отримати доступ до облікового запису, для якого парольну автентифікацію мали б заблокувати.

Причина SSHole криється у взаємодії OpenSSH із бібліотекою musl, яка відповідає за низку базових функцій Linux, зокрема обробку паролів. Коли користувач вводить пароль завдовжки понад 256 байтів, функція crypt() у musl не може його обробити та повертає символ зірочки (*) як ознаку помилки. Проблема в тому, що такий самий символ використовується в системних файлах Linux для позначення облікових записів, пароль яких заблоковано. OpenSSH за певних умов порівнює результат роботи бібліотеки зі збереженим значенням і помилково сприймає збіг двох зірочок як успішну перевірку пароля.

У результаті система може дозволити вхід без знання справжніх облікових даних. Вразливість не означає, що будь-який Linux-сервер можна зламати довгим паролем: для атаки необхідна конкретна конфігурація OpenSSH, musl та параметрів автентифікації. За описом у Національній базі вразливостей США (NVD), помилка пов’язана з некоректною обробкою коду повернення або результату роботи функції, що за певних умов призводить до обходу автентифікації.

OpenSSH випустила оновлення для усунення проблеми

Розробники OpenSSH уже опублікували виправлену версію програмного забезпечення, хоча зазначили, що першопричина проблеми перебуває за межами самого OpenSSH. Виправлення доступне у версії 10.6p2, а окремі дистрибутиви Linux також випускають власні оновлення безпеки.

Адміністраторам рекомендують якнайшвидше встановити відповідні виправлення та перезапустити SSH-сервіс, щоб нова версія програмного забезпечення почала працювати. Якщо оновлення поки недоступне, тимчасовим способом захисту може стати вимкнення автентифікації за паролем і використання SSH-ключів. Окремо варто перевірити журнали SSH на наявність підозрілих успішних входів, особливо до облікових записів із заблокованими паролями.

У разі отримання доступу з правами root зловмисники можуть викрадати конфіденційну інформацію, встановлювати шкідливе програмне забезпечення, створювати приховані механізми доступу або використовувати заражений сервер для атак на інші системи. Після підтвердження активної експлуатації SSHole питання оновлення стало особливо актуальним для адміністраторів Linux-серверів, контейнерів та мережевого обладнання. CISA вимагає від федеральних установ США усунути ризик до 12 листопада, а іншим організаціям рекомендується не відкладати встановлення виправлень.