Kritik OpenSSH zəifliyi CVE-2026-123158 Linux sistemlərində aktiv istismar olunur

Təhlükəsizlik tədqiqatçıları OpenSSH və musl ilə bağlı kritik CVE-2026-123158 zəifliyinin bəzi Linux sistemlərinə doğrulamasız hücumçulara yüksək səlahiyyətli giriş verə bilən aktiv istismarını bildirir. Zəiflik CVE-2026-123158 kimi izlənir, keçən cümə axşamı ictimaiyyətə məlum olub və o vaxtdan bir neçə firma hücumlar bildirib. OpenSSH düzəliş buraxıb və istifadəçilər onu tez quraşdırmağa çağırılır.

Zəiflik necə işləyir

Zəiflik OpenSSH musl ilə birlikdə işləyəndə ortaya çıxır; musl geniş istifadə olunan libc kod kitabxanasının Linux alternatividir. OpenSSH PAM istifadə etməməli və SSH konfiqurasiyasında SHA256 və ya SHA512 ilə heşlənmiş parolla əlçatan ən azı bir hesab olmalıdır. Həmçinin /etc/shadow faylındakı parol sahəsində '*' göstərməklə parolsuz hesablar istifadə edilməlidir; bu, müəyyən hesab növləri üçün standart quruluşdur. İstismarlar hücumçunun parolsuz hesab üçün 256 simvoldan çox parol daxil etməsi ilə işə düşür. Həddindən artıq böyük parol xəta yaradır və bu, musl-un parol heşləmə funksiyasının '*' qaytarmasına səbəb olur; bu isə sətrin parol heşi kimi nəzərdə tutulub-tutulmadığının səhv şərhindən istifadə edir, Red Hat-a görə.

Aktiv istismar hesabatları

Greynoise bazar ertəsi bildirdi ki, Cənub-Şərqi Asiyada saxladığı honeypot-lar GT10 adlandırdığı qrupun hücumuna məruz qalıb; qrup sistemlərə 'yetkin hücumlar' həyata keçirib. Greynoise sonradan GT10 serverinə giriş əldə edib; bu, digər potensial qurbanları və kampaniyada istifadə olunan bəzi alətləri üzə çıxarıb. Hücumlar zamanı istifadə olunan backdoor Çin dili şərhləri ehtiva edir və AI ilə yaradılmış görünür. GT10 həmçinin backdoor-u işlətmək üçün tələb olunan paket olmadığından Python3 olmayan maşınlara Python3 quraşdırır; backdoor TAC Agent kimi izlənir və shell əmrlərini, sistem kəşfiyyatını və davamlılığı dəstəkləyir. watchTowr təhlükəsizlik firması cümə günü botnet və kriptovalyuta ilə bağlı istismar fəaliyyəti gördüyünü bildirdi, Previdian isə oxşar fəaliyyət bildirdi. Previdian sensorları doqquz ölkəyə geolokasiya edilmiş 13 unikal hücumçu IP ünvanından 20 istismar cəhdi gördü.

Kim risk altındadır

Bir neçə şərt tələb olunsa da, CVE-2026-123158 ciddi təhlükə yaradır, xüsusilə yüngül Linux distributiv olan Alpine ilə işləyən maşınlara. İstismarın asanlığı hücumçulara internetə açıq SSH serverlərə zərərli əmrlər göndərməyə və saniyələr ərzində potensial zəif olanları müəyyən etməyə imkan verir. OpenSSH istifadə edən hər kəs yeniləməni tez quraşdırmalı, musl istifadə edənlər isə əlavə araşdırma aparmalıdır.

Mənbələr: Ars Technica