פגיעות קריטית ב-OpenSSH בשם CVE-2026-123158 מנוצלת באופן פעיל במערכות לינוקס

חוקרי אבטחה מדווחים על ניצול פעיל של CVE-2026-123158, פגיעות קריטית הכוללת OpenSSH ו-musl שיכולה להעניק לתוקפים לא מאומתים גישה בהרשאות גבוהות למערכות לינוקס מסוימות. הפגיעות, המזוהה כ-CVE-2026-123158, התפרסמה ביום חמישי שעבר, ומאז דיווחו כמה חברות על תקיפות. OpenSSH שחררה תיקון, והמשתמשים מתבקשים להתקין אותו מיד.

כיצד פועלת הפגיעות

הפגיעות מצויה ב-OpenSSH כשהוא פועל לצד musl, חלופה לספריית הקוד libc הנפוצה בלינוקס. OpenSSH אינו אמור להשתמש ב-PAM, והגדרות SSH חייבות לכלול לפחות חשבון אחד הנגיש באמצעות סיסמה מגובבת ב-SHA256 או ב-SHA512. כמו כן עליהן להשתמש בחשבונות ללא סיסמה, באמצעות ציון '*' בשדה הסיסמה בקובץ /etc/shadow, תצורה סטנדרטית לסוגים מסוימים של חשבונות. הניצול מופעל כאשר תוקף מזין לחשבון ללא סיסמה סיסמה ארוכה מ-256 תווים. הסיסמה הארוכה מדי יוצרת שגיאה שגורמת לפונקציית גיבוב הסיסמאות של musl להחזיר '*', ובכך מנוצלת פרשנות שגויה בשאלה אם המחרוזת אמורה להיות גיבוב של סיסמה, לפי Red Hat.

דיווחים על ניצול פעיל

חברת Greynoise הודיעה ביום שני כי honeypots שהיא מתחזקת בדרום-מזרח אסיה הותקפו בידי קבוצה שהיא עוקבת אחריה בשם GT10, אשר ביצעה חדירות מפותחות במערכות. מאוחר יותר השיגה Greynoise גישה לשרת של GT10, וזה חשף קורבנות פוטנציאליים נוספים וחלק מהכלים ששימשו במבצע. דלת אחורית ששימשה בתקיפות מכילה הערות בשפה הסינית ונראית כאילו נוצרה באמצעות AI. GT10 מתקינה גם Python3 במכונות שחסר בהן, משום שהחבילה נדרשת להרצת הדלת האחורית, המזוהה בשם TAC Agent, אשר תומכת בפקודות shell, בסיור מערכת ובשמירה על נוכחות מתמשכת. חברת האבטחה watchTowr הודיעה ביום שישי כי היא רואה פעילות ניצול הקשורה לבוטנטים ולקריפטו, ו-Previdian דיווחה על פעילות דומה. Previdian אמרה שהחיישנים שלה ראו 20 ניסיונות ניצול מ-13 כתובות IP ייחודיות של תוקפים, הממוקמות בתשע מדינות.

מי נמצא בסיכון

למרות התנאים הרבים הנדרשים, CVE-2026-123158 מהווה איום חמור עבור בסיס גדול של מכונות, ובראשן אלה שמריצות את Alpine, הפצת לינוקס קלת משקל. קלות הניצול מאפשרת לתוקפים לשלוח פקודות זדוניות לשרתי SSH החשופים לאינטרנט ולזהות בתוך שניות את אלה שעלולים להיות פגיעים. כל מי שמשתמש ב-OpenSSH צריך להתקין את העדכון מיד, ומי שמשתמש ב-musl צריך לבדוק את הנושא לעומק.

מקורות: Ars Technica