Atacantes estão tentando explorar uma falha de segurança recém-divulgada no OpenSSH, que pode permitir o login em contas sem senha definida, segundo a Previdian.
A vulnerabilidade, catalogada como CVE-2026-123158 (sigla para Common Vulnerabilities and Exposures, identificador padronizado de falhas de segurança), tem pontuação CVSS de 8,1 (sigla para Common Vulnerability Scoring System, sistema de pontuação de gravidade) e recebeu o apelido de SSHole (ou *sshole). Ela afeta sistemas Linux que executam o OpenSSH sobre a biblioteca C musl, com os Módulos de Autenticação Plugáveis (PAM, sigla em inglês) desativados, incluindo a configuração padrão do servidor OpenSSH do Alpine Linux.
Um invasor não autenticado pode enviar uma senha excessivamente grande para acessar contas que foram configuradas deliberadamente sem senhas utilizáveis, sem precisar roubar credenciais ou chaves SSH (Secure Shell, protocolo de acesso remoto seguro). A falha, descoberta pelo pesquisador de segurança Ozgun Kultekin, foi corrigida na versão 10.6p2 do OpenSSH.
O problema original remonta a uma correção introduzida em 2016 para resolver uma vulnerabilidade de enumeração de nomes de usuário, catalogada como CVE-2016-6210. Em condições específicas, o tratamento de senhas no OpenSSH interpreta por engano uma falha na operação de hash de senha como autenticação bem-sucedida, ao produzir o mesmo valor ("*") usado para indicar que uma conta teve a senha desativada no nível do sistema.
Um invasor pode explorar a falha para autenticar em determinadas contas com senha desativada, usando uma senha arbitrária de 257 a 1.024 bytes. Isso faz com que a tentativa de hash falhe e retorne um asterisco. O sshd (processo servidor do SSH) então compara o valor com o asterisco armazenado no campo de senha da conta, o que leva a um login bem-sucedido.
Para deixar claro, a exploração bem-sucedida exige que ao menos uma conta tenha um asterisco (*) como hash de senha. A falha não permite que invasores contornem senhas de contas com hashes válidos.
"Um ataque SSHole bem-sucedido concede acesso com as permissões existentes da conta comprometida", afirmou a Safe Security. "No caso de empresas, as consequências do SSHole dependem dos privilégios da conta comprometida."
"Embora o acesso SSH não autorizado seja o impacto imediato, invasores também podem obter acesso a credenciais de implantação, segredos de aplicações e infraestrutura conectada, o que pode possibilitar movimentação lateral ou interrupção de serviços."
Vale destacar que a vulnerabilidade não afeta o Dropbear, distribuições Linux baseadas em glibc, sistemas que não são Linux e sistemas que verificam senhas por meio do PAM.
A Previdian, empresa de inteligência de ameaças, disse ter observado a primeira tentativa de exploração menos de nove horas após a publicação da CVE. A empresa acrescentou ter confirmado acesso root (superusuário, com privilégios administrativos totais) bem-sucedido em um honeypot (armadilha digital usada para atrair e monitorar invasões) que roda Alpine Linux e OpenSSH. Os dados de telemetria mostram um total de oito tentativas de exploração a partir de um endereço IP (Protocolo de Internet) geolocalizado no Japão.
"O endereço IP observado, 89.116.89[.]18, usou senhas excessivamente grandes para contornar a autenticação e executou comandos de reconhecimento, incluindo id, uname e hostname, por meio de sessões SSH não interativas", afirmou Ryan Dewhurst, fundador e CEO (diretor-executivo) da Previdian, em comunicado compartilhado com o The Hacker News.
Usuários afetados são orientados a instalar o OpenSSH 10.6p2 ou o pacote corrigido de sua distribuição e, em seguida, reiniciar o sshd. A Alpine também recomenda que os usuários investiguem entradas de registro "Accepted password for" envolvendo contas que não deveriam aceitar logins por senha.
"Procure em /var/log/messages linhas do sshd com a mensagem Accepted password for referente a uma conta sem senha (alpine, root ou qualquer usuário que use apenas chave)", afirmou a Alpine. "Revise o uso do doas (ferramenta para execução de comandos com privilégios elevados), além de usuários criados recentemente, arquivos e chaves autorizadas em máquinas expostas. Se não for possível descartar um login, trate a máquina como comprometida."
