Grupos de ameaças começaram a explorar uma vulnerabilidade de alta gravidade no protocolo OpenSSH, conhecida como "SSHole" e identificada pelo código CVE-2026-123158. Esta falha permite que atacantes contornem o processo de autenticação e obtenham acesso não autorizado a contas, incluindo a conta "root" em ambientes específicos.
O problema técnico reside na forma como o sistema interpreta se uma string representa um "hash" de senha ou não. Em distribuições que utilizam a biblioteca musl libc com o módulo de autenticação plugável (PAM) desativado — como Alpine, OpenWrt, Yocto e Buildroot — um atacante pode inserir uma senha com comprimento entre 257 e 1024 caracteres. Ao exceder esse comprimento, a função crypt() na biblioteca musl falha e retorna o símbolo "*" em vez de um valor nulo (NULL). Como contas como "root" nessas distribuições armazenam o símbolo "*" no campo de senha, o servidor OpenSSH (sshd) interpreta o resultado como uma senha correta e permite o acesso.
As contas afetadas na distribuição Alpine incluem a conta "root", qualquer usuário criado via adduser sem senha, além de usuários provenientes de serviços de diretório via musl-nscd.
Por que esta ameaça representa um perigo extremo?
O perigo reside no fato de que a vulnerabilidade quebra um dos pilares mais importantes da segurança em sistemas Linux, que é a proteção da conta "root". Nos sistemas afetados, o atacante pode obter privilégios totais sobre o sistema sem conhecer a senha real. Empresas de segurança como a WatchTowr e a Previdian já detectaram tentativas de exploração ativas; a Previdian indicou ter detectado 20 tentativas de exploração a partir de 13 endereços IP diferentes, distribuídos em 9 países nos últimos dias. Embora os ataques atuais estejam limitados a redes de botnets e mineradores de criptomoedas, as previsões indicam a possibilidade de grupos de ameaças mais sofisticados adotarem essa vulnerabilidade em breve.
Como se proteger e prevenir
Para proteger os sistemas, recomenda-se tomar as seguintes medidas imediatamente:
- Atualizar o OpenSSH: Atualizar para a versão 10.6p2 ou superior.
- Desativar a autenticação por senha: Utilizar chaves SSH em vez de senhas (Password Authentication).
- Revisar os logs: Verificar os logs do sistema em busca de solicitações de login anormais ou suspeitamente longas.
- Desativar o serviço: Em casos críticos que não podem ser atualizados, desativar o serviço SSH pode ser a única solução temporária.