脅威グループが、OpenSSHプロトコルの高深刻度の脆弱性（「SSHole」と呼ばれ、CVE-2026-123158が割り当てられています）の悪用を開始しました。この脆弱性により、攻撃者は認証をバイパスし、特定的环境において「root」アカウントを含むアカウントへ不正アクセスすることが可能になります。
技術的な問題は、システムが文字列をパスワードハッシュであるとみなすかどうかの解釈方法にあります。musl libcライブラリを使用し、かつプラグイン可能認証モジュール（PAM）が無効化されているディストリビューション（Alpine、OpenWrt、Yocto、Buildrootなど）では、攻撃者は257文字から1024文字の長さのパスワードを入力できます。この長さを超えると、muslライブラリのcrypt()関数は失敗し、NULL値の代わりに「*」というコードを返します。これらのディストリビューションにおけるrootなどのアカウントはパスワードフィールドに「*」を格納しているため、OpenSSHサーバー（sshd）はこの結果を正しいパスワードと解釈し、ログインを許可してしまいます。
Alpineディストリビューションで影響を受けるアカウントには、「root」アカウント、パスワードなしでadduser経由で作成されたすべてのユーザー、およびmusl-nscd経由のディレクトリサービスからのユーザーが含まれます。
なぜこの脅威は極めて危険なのか？
この脆弱性の危険性は、Linuxシステムにおけるセキュリティの最も重要な基礎の1つである「rootアカウントの保護」を破壊する点にあります。影響を受けるシステムでは、攻撃者は実際のパスワードを知ることなく、システムに対する完全な権限を取得できます。WatchTowrやPrevidianなどのセキュリティ企業は、すでに活発な悪用の試みを検知しています。Previdianによると、ここ数日間で9カ国に分散する13個の異なるIPアドレスから20件の悪用の試みが検知されたとのことです。現在の攻撃はボットネットや暗号資産マイナー（Crypto miners）に限定されていますが、より洗練された脅威グループが間もなくこの脆弱性を採用する可能性が指摘されています。
保護と対策の方法
システムを保護するために、直ちに以下の措置を講じることを推奨します。
- OpenSSHのアップデート：10.6p2以降のバージョンにアップグレードする。
- パスワード認証の無効化：パスワードの代わりにSSHキーを利用する（Password Authentication）。
- ログの確認：異常または不審に長いログインリクエストがないか、システムログを検査する。
- サービスの無効化：アップデートが不可能なクリティカルな状況においては、SSHサービスを無効化することが唯一の一時的な解決策となる場合がある。