Grupos de amenazas han comenzado a explotar una vulnerabilidad de alta gravedad en el protocolo OpenSSH, conocida como "SSHole" y con el identificador CVE-2026-123158. Esta vulnerabilidad permite a los atacantes omitir el proceso de autenticación y obtener acceso no autorizado a cuentas, incluida la cuenta "root" en entornos específicos.
El problema técnico radica en cómo el sistema interpreta si una cadena de texto representa un "hash" de contraseña o no. En las distribuciones que utilizan la biblioteca musl libc con el módulo de autenticación conectable (PAM) deshabilitado —como Alpine, OpenWrt, Yocto y Buildroot—, un atacante puede ingresar una contraseña con una longitud de entre 257 y 1024 caracteres. Al exceder esta longitud, la función crypt() en la biblioteca musl falla y devuelve el símbolo "*" en lugar de un valor nulo (NULL). Dado que cuentas como "root" en estas distribuciones almacenan el símbolo "*" en el campo de contraseña, el servidor OpenSSH (sshd) interpreta el resultado como una contraseña válida y permite el acceso.
Las cuentas afectadas en la distribución Alpine incluyen la cuenta "root", cualquier usuario creado a través de adduser sin contraseña, además de los usuarios provenientes de servicios de directorio a través de musl-nscd.
¿Por qué representa esta amenaza un peligro extremo?
El peligro radica en que la vulnerabilidad rompe uno de los pilares más importantes de la seguridad en los sistemas Linux: la protección de la cuenta "root". En los sistemas afectados, un atacante puede obtener privilegios completos sobre el sistema sin conocer la contraseña real. Empresas de seguridad como WatchTowr y Previdian ya han detectado intentos de explotación activos; Previdian señaló haber registrado 20 intentos de explotación desde 13 direcciones IP diferentes distribuidas en 9 países durante los últimos días. Aunque los ataques actuales se limitan a redes de bots (Botnets) y mineros de criptomonedas (Crypto miners), las proyecciones indican la posibilidad de que grupos de amenazas más sofisticados adopten esta vulnerabilidad pronto.
Cómo protegerse y prevenir
Para proteger los sistemas, se recomienda tomar las siguientes medidas de inmediato:
- Actualizar OpenSSH: Actualizar a la versión 10.6p2 o superior.
- Deshabilitar la autenticación por contraseña: Confiar en claves SSH en lugar de contraseñas (Password Authentication).
- Revisar los registros: Inspeccionar los registros del sistema en busca de solicitudes de inicio de sesión inusuales o sospechosamente largas.
- Deshabilitar el servicio: En casos críticos que no pueden ser actualizados, deshabilitar el servicio SSH puede ser la única solución temporal.