Kritik OpenSSH açığı CVE-2026-123158 Linux sistemlerinde aktif olarak istismar ediliyor

Güvenlik araştırmacıları, kimlik doğrulaması yapmamış saldırganlara bazı Linux sistemlerinde yüksek yetkili erişim verebilen, OpenSSH ve musl ile ilgili kritik bir güvenlik açığı olan CVE-2026-123158'in aktif olarak istismar edildiğini bildiriyor. CVE-2026-123158 olarak izlenen bu açık geçen Perşembe günü kamuoyuna duyuruldu ve o tarihten sonra birden fazla firma saldırı bildirdi. OpenSSH bir düzeltme yayımladı ve kullanıcılar bunu hızlıca yüklemeye teşvik ediliyor.

Güvenlik açığı nasıl çalışıyor

Bu açık, Linux'ta yaygın olarak kullanılan libc kod kitaplığının bir alternatifi olan musl ile birlikte çalışırken OpenSSH'de bulunur. OpenSSH PAM kullanmamalıdır ve SSH yapılandırması SHA256 veya SHA512 ile hashlenmiş bir parola kullanılarak erişilebilen en az bir hesabı içermelidir. Ayrıca /etc/shadow içindeki parola alanında '*' belirtilerek parolasız hesaplar kullanılmalıdır; bu, belirli hesap türleri için standart bir kurulumdur. Saldırılar, parolasız bir hesap için 256 karakterden uzun bir parola girildiğinde tetiklenir. Aşırı uzun parola bir hataya yol açar ve bu hata musl'ün parola hashleme işlevinin '*' döndürmesine neden olur. Red Hat'a göre saldırılar, bir dizgenin parola hash'i olup olmadığına ilişkin yanlış yorumu istismar ediyor.

Aktif istismar raporları

Greynoise, Pazartesi günü Güneydoğu Asya'da sürdürdüğü honeypotların GT10 olarak izlediği bir grup tarafından saldırıya uğradığını söyledi; grup sistemlere 'olgun sızma' gerçekleştirdi. Greynoise daha sonra GT10 sunucusuna erişim sağladı ve bu erişim potansiyel diğer kurbanları ve kampanyada kullanılan bazı araçları ortaya çıkardı. Saldırılarda kullanılan bir arka kapı Çince yorumlar içeriyor ve yapay zekâ ile oluşturulmuş gibi görünüyor. GT10, arka kapıyı çalıştırmak için gerekli olduğundan, bu pakete sahip olmayan makinelerde Python3 de kuruyor; TAC Agent olarak izlenen arka kapı kabuk komutlarını, sistem keşfini ve kalıcılığı destekliyor. Güvenlik firması watchTowr, Cuma günü botnetler ve kripto para birimleriyle ilgili istismar etkinliği gördüğünü söyledi; Previdian benzer bir etkinlik bildirdi. Previdian, sensörlerinin dokuz ülkede konumlandırılmış 13 benzersiz saldırgan IP adresinden 20 istismar girişimi gördüğünü söyledi.

Kimler risk altında

Çok sayıda koşul gerekli olsa da CVE-2026-123158, hafif bir Linux dağıtımı olan Alpine başta olmak üzere geniş bir makine tabanı için ciddi bir tehdit oluşturuyor. İstismarın kolaylığı, saldırganların İnternet'e açık SSH sunucularına kötü amaçlı komutlar göndermesine ve saniyeler içinde potansiyel olarak savunmasız olanları belirlemesine olanak tanıyor. OpenSSH kullanan herkes güncellemeyi hızlıca yüklemeli ve musl kullananlar daha ileri araştırma yapmalıdır.

Kaynaklar: Ars Technica