OpenSSH «SSHole» (CVE-2026-123158)․ գաղտնաբառի շրջանցում Alpine-ում և musl-ի վրա հիմնված այլ Linux-ներում

Հրապարակվել է՝ 2026 թ. նոյեմբերի 5

2026 թ. նոյեմբերի 5-ին թողարկվեց OpenSSH 10.6p2-ը՝ «SSHole» անվանումը ստացած նույնականացման շրջանցման ուղղումով։ musl գրադարանի վրա հիմնված Linux համակարգերում, օրինակ՝ Alpine-ում, որը լայնորեն օգտագործվում է կոնտեյներներում և ամպային պատկերներում, * գաղտնաբառով հաշիվներում (այսինքն՝ «գաղտնաբառով մուտքն արգելված է») կարելի էր մուտք գործել չափազանց երկար գաղտնաբառով։ Շահագործումը սկսվեց էքսփլոյթի հրապարակումից մի քանի ժամ անց, առաջին հաստատված հաջող հարձակումը գրանցվեց նոյեմբերի 7-ին, իսկ նոյեմբերի 9-ին CISA-ն այն ավելացրեց շահագործվողների ցանկում։

Ում արժե ստուգել

Բոլոր նրանց, ում մոտ SSH-ն աշխատում է Alpine Linux-ում, Alpine-ի վրա հիմնված կոնտեյներներում կամ musl-ով կառուցված ներկառուցված ծրագրերում և ռաութերներում։ Ներթափանցած հարձակվողները կարդում էին գաղտնաբառերի հեշերը և SSH բանալիները, ավելացնում իրենց authorized_keys-ը, տեղադրում backdoor-ներ և մայներներ։ Ստուգեք ձեր բաշխման ծանուցումը՝ հասկանալու, արդյոք ձեր համակարգերը տուժած են։

Ինչ անել

1. Թարմացրեք OpenSSH-ը մինչև 10.6p2 (կամ բաշխման ուղղված փաթեթը) և վերագործարկեք sshd-ն։
2. Եթե անմիջապես թարմացնել հնարավոր չէ, անջատեք գաղտնաբառով մուտքը SSH-ում և օգտագործեք միայն բանալիներ։
3. Երբեք մի բացեք SSH-ը ամբողջ ինտերնետին․ թույլատրեք միայն VPN-ով կամ հայտնի հասցեներից։
4. Փնտրեք * գաղտնաբառով հաշիվներում գաղտնաբառով հաջող մուտքեր, authorized_keys-ում անհայտ բանալիներ և անսպասելի ծառայություններ։

ssh -V
# Alpine:
apk update && apk upgrade openssh
rc-service sshd restart
# check accounts with a locked "*" password hash:
awk -F: '$2=="*"{print $1}' /etc/shadow

Կոնտեյներներն էլ են սերվերներ․ նրանց պետք են նույն թարմացումները և նույն ստուգումները։

Աղբյուրներ՝ BleepingComputer, 9 Nov 2026, CISA alert, 9 Nov 2026.

Օգնության կարիք ունե՞ք։ Կապվեք CySec-ի հետ՝ անվճար խորհրդատվության համար։

Բոլոր հոդվածները