Kwaadwillenden exploiteren een recent gepatchte authenticatie-omzeiling in OpenSSH, waardoor toegang tot root-accounts mogelijk is op bepaalde Linux-distributies.
Kwaadwillenden maken misbruik van SSHole, een recent gepatchte kwetsbaarheid in OpenSSH die een authenticatie-omzeiling mogelijk maakt. Deze kwetsbaarheid, geregistreerd als CVE-2026-123158, ontstaat door een verkeerde interpretatie van een string die bedoeld is als wachtwoordhash. Hierdoor kunnen aanvallers toegang krijgen tot bepaalde accounts door elk wachtwoord te gebruiken met een lengte tussen 257 en 1024 tekens.
Een succesvolle exploitatie kan leiden tot toegang tot accounts zoals root, die normaal gesproken nooit een wachtwoord accepteren. Dit probleem doet zich voor op Linux-distributies die gebruikmaken van de musl libc-implementatie en waarbij de Pluggable Authentication Module (PAM) is uitgeschakeld, zoals Alpine, Buildroot, OpenWrt en Yocto. Op deze systemen accepteren root-accounts en andere accounts zonder wachtwoordhash toch een wachtwoord. Dit komt doordat de OpenSSH-server (sshd) het opgegeven wachtwoord controleert door het te hashen en te vergelijken met een opgeslagen wachtwoordhash. Als een account geen wachtwoordhash heeft, zoals root op Alpine (waar het veld ‘*’ is), gebruikt sshd de salt van een ander account om de loginpoging te verwerken. Bij wachtwoorden langer dan 256 bytes faalt de crypt()-functie van musl en retourneert in plaats van NULL een ‘*’. Omdat dit overeenkomt met het ‘*’ dat is opgeslagen voor het doelaccount, beschouwt sshd het wachtwoord als correct.
Op Alpine zijn onder andere root, gebruikers zonder wachtwoord die met adduser zijn aangemaakt, de Alpine-gebruiker in officiële tiny-cloud images en gebruikers uit directoryservices via musl-nscd getroffen. OpenSSH bracht vorige week spoedpatches uit en Alpine adviseerde gebruikers deze direct te installeren en sshd opnieuw te starten. Inmiddels waarschuwen zowel WatchTowr als Previdian dat hackers de kwetsbaarheid actief in het wild exploiteren. Volgens Previdian zijn er tot nu toe 20 exploitatiepogingen waargenomen, afkomstig van 13 unieke IP-adressen uit 9 landen, met de eerste detectie op 6 november 2026 en de laatste op 8 november 2026. Ook GreyNoise en Defused melden exploitatiepogingen.
Gebruikers wordt geadviseerd zo snel mogelijk te updaten naar OpenSSH versie 10.6p2. Als mitigatie kunnen zij wachtwoordauthenticatie uitschakelen, wat standaard aan staat in OpenSSH, of SSH geheel uitschakelen. Daarnaast is het raadzaam om logs te controleren op verdachte verzoeken om mogelijke exploitatiepogingen te detecteren.
