Критична вразливість OpenSSH CVE-2026-123158 активно експлуатується в системах Linux

Дослідники з безпеки повідомляють про активну експлуатацію CVE-2026-123158, критичної вразливості, пов'язаної з OpenSSH і musl, що може надати неавторизованим зловмисникам високопривілейований доступ до деяких систем Linux. Вразливість, яку відстежують як CVE-2026-123158, стала відомою минулого четверга, і кілька компаній відтоді повідомили про атаки. OpenSSH випустила виправлення, і користувачам рекомендують встановити його якнайшвидше.

Як працює вразливість

Вразливість міститься в OpenSSH, коли він працює разом із musl, альтернативою для Linux до широко використовуваної бібліотеки коду libc. OpenSSH не має використовувати PAM, а конфігурація SSH має містити щонайменше один обліковий запис, доступний із паролем, хешованим за допомогою SHA256 або SHA512. Вона також має використовувати облікові записи без пароля, вказуючи '*' у полі пароля в /etc/shadow, що є стандартним налаштуванням для певних типів облікових записів. Експлуатація запускається, коли зловмисник вводить пароль довжиною понад 256 символів для облікового запису без пароля. Занадто великий пароль створює помилку, через яку функція хешування паролів musl повертає '*', використовуючи неправильне тлумачення того, чи призначений рядок для хешу пароля, за даними Red Hat.

Повідомлення про активну експлуатацію

Greynoise повідомила в понеділок, що на підтримувані нею honeypot-системи у Південно-Східній Азії напала група, яку вона відстежує як GT10 і яка проводила «зрілі проникнення» в системи. Згодом Greynoise отримала доступ до сервера GT10, що розкрило можливих інших жертв і деякі інструменти, використані в кампанії. Бекдор, застосований у атаках, містить коментарі китайською мовою й, імовірно, згенерований за допомогою ШІ. GT10 також встановлює Python3 на машинах, де його немає, оскільки пакет потрібен для запуску бекдора, відстежуваного як TAC Agent, який підтримує команди оболонки, розвідку системи та збереження доступу. Фірма з безпеки watchTowr повідомила в п'ятницю, що бачить активність експлуатації, пов'язану з ботнетами та криптовалютою, а Previdian повідомила про подібну активність. Previdian повідомила, що її сенсори зафіксували 20 спроб експлуатації з 13 унікальних IP-адрес зловмисників, геолокованих у дев'яти країнах.

Хто перебуває під загрозою

Попри численні необхідні умови, CVE-2026-123158 становить серйозну загрозу для великої бази машин, найпомітніше для тих, що працюють під Alpine, легким дистрибутивом Linux. Легкість експлуатації дозволяє зловмисникам надсилати шкідливі команди до SSH-серверів, відкритих в Інтернеті, і визначати потенційно вразливі за секунди. Усім, хто використовує OpenSSH, слід якнайшвидше встановити оновлення, а тим, хто використовує musl, варто дослідити ситуацію докладніше.

Джерела: Ars Technica