ثغرة OpenSSH الحرجة CVE-2026-123158 تُستغل بنشاط في أنظمة Linux

يُبلِغ باحثو الأمن عن استغلال نشط لثغرة CVE-2026-123158، وهي ثغرة حرجة تشمل OpenSSH وmusl وقد تمنح مهاجمين غير مصادقين صلاحيات عالية على بعض أنظمة Linux. أصبحت الثغرة، المُتتبعة باسم CVE-2026-123158، معروفة للجمهور الخميس الماضي، وأفادت عدة شركات منذ ذلك الحين بوقوع هجمات. أصدر OpenSSH إصلاحاً، وتُحث المستخدمون على تثبيته بسرعة.

كيف تعمل الثغرة

توجد الثغرة في OpenSSH عندما يعمل إلى جانب musl، وهو بديل لمكتبة الشفرة libc المستخدمة على نطاق واسع في Linux. ويجب ألا يستخدم OpenSSH نظام PAM، ويجب أن تتضمن إعدادات SSH حساباً واحداً على الأقل يمكن الوصول إليه بكلمة مرور مجزّأة باستخدام SHA256 أو SHA512. كما يجب أن تعتمد حسابات بلا كلمة مرور، وذلك بتحديد '*' في حقل كلمة المرور في ملف /etc/shadow، وهو إعداد معياري لبعض أنواع الحسابات. وتُفعَّل الاستغلالات عندما يُدخل مهاجم كلمة مرور تزيد على 256 حرفاً لحساب بلا كلمة مرور. وتُنتج كلمة المرور المفرطة في الطول خطأً يجعل دالة تجزئة كلمة المرور في musl تُعيد '*'. وتستغل الهجمات، وفقاً لـ Red Hat، «التفسير الخاطئ لما إذا كانت السلسلة مقصودة لتكون تجزئة كلمة مرور».

تقارير عن استغلال نشط

قالت Greynoise يوم الاثنين إن الفخاخ التي تديرها في جنوب شرق آسيا تعرضت لهجوم من مجموعة تُتتبَّع باسم GT10، وقد نفّذت «اختراقات ناضجة» في الأنظمة. وتمكّنت Greynoise لاحقاً من الوصول إلى خادم تابع لـ GT10 كشف عن ضحايا محتملين آخرين وعن بعض الأدوات المستخدمة في الحملة. ويحتوي باب خلفي مستخدم في الهجمات على تعليقات باللغة الصينية ويبدو أنه مُولَّد بالذكاء الاصطناعي. كما تُثبّت GT10 لغة Python3 على الأجهزة التي تفتقر إليها، لأن الحزمة مطلوبة لتشغيل الباب الخلفي المُتتبَّع باسم TAC Agent، والذي يدعم أوامر shell واستطلاع النظام والحفاظ على الوصول. وقالت شركة الأمن watchTowr يوم الجمعة إنها ترى نشاط استغلال مرتبطاً بشبكات الروبوت والعملات المشفرة، وأبلغت Previdian عن نشاط مماثل. وقالت Previdian إن حساساتها رصدت 20 محاولة استغلال من 13 عنوان IP فريداً للمهاجمين، موزعة جغرافياً على تسعة بلدان.

من المعرض للخطر

ورغم الشروط المتعددة المطلوبة، تشكّل CVE-2026-123158 تهديداً خطيراً لقاعدة كبيرة من الأجهزة، وأبرزها الأجهزة التي تشغّل Alpine، وهو توزيعة Linux خفيفة. وتتيح سهولة الاستغلال للمهاجمين توجيه أوامر خبيثة إلى خوادم SSH المكشوفة على الإنترنت وتحديد الخوادم القابلة للاختراق خلال ثوانٍ. وينبغي لكل من يستخدم OpenSSH تثبيت التحديث بسرعة، ولمن يستخدم musl أن يبحث في الأمر أكثر.

المصادر: Ars Technica