Hackers exploram falha SSHole no OpenSSH e obtêm acesso root em servidor Alpine Linux

Hackers começaram a explorar uma vulnerabilidade de alta gravidade no OpenSSH menos de nove horas após sua divulgação pública. A falha, identificada como CVE-2026-123158, recebeu o codinome SSHole e permite contornar a autenticação em determinadas configurações Linux, possibilitando acesso não autorizado a contas que não possuem senhas utilizáveis.

Segundo a empresa de inteligência de ameaças Previdian, os primeiros ataques foram identificados poucas horas após a publicação da vulnerabilidade. A companhia confirmou que invasores conseguiram obter privilégios de root em um honeypot, ambiente utilizado para monitorar atividades maliciosas, executando Alpine Linux com OpenSSH.

A vulnerabilidade possui pontuação CVSS de 8,1 e afeta sistemas Linux que utilizam OpenSSH com a biblioteca C musl e os módulos de autenticação PAM desabilitados. Entre as configurações vulneráveis está a instalação padrão do servidor OpenSSH no Alpine Linux.

Descoberta pelo pesquisador de segurança Ozgun Kultekin, a falha permite que um invasor não autenticado utilize uma senha excessivamente longa para acessar determinadas contas configuradas sem autenticação por senha, sem precisar roubar credenciais ou chaves SSH.

Falha de autenticação tem origem em correção de 2016

A origem da vulnerabilidade está em uma alteração introduzida no OpenSSH em 2016 para corrigir a CVE-2016-6210, que permitia identificar nomes de usuários existentes por meio de diferenças no comportamento da autenticação.

Em condições específicas, o mecanismo de processamento de senhas do OpenSSH interpreta incorretamente uma falha na geração do hash como uma autenticação bem-sucedida.

O problema ocorre porque a operação de hash retorna o caractere asterisco (*), também utilizado em sistemas Linux para indicar contas com autenticação por senha desabilitada.

Para explorar a vulnerabilidade, o invasor fornece uma senha arbitrária com tamanho entre 257 e 1.024 bytes. Isso provoca uma falha na operação de hash, que retorna o caractere *.

O daemon sshd compara esse resultado com o valor armazenado no campo de senha da conta. Quando ambos correspondem ao asterisco, a autenticação pode ser aceita indevidamente.

A exploração exige que exista pelo menos uma conta cujo campo de hash de senha contenha *. A vulnerabilidade não permite contornar a autenticação de contas que possuem hashes de senha válidos.

De acordo com a Safe Security, o impacto depende diretamente dos privilégios da conta comprometida. Além do acesso SSH não autorizado, invasores podem alcançar credenciais de implantação, segredos de aplicações e outros recursos conectados, criando oportunidades para movimentação lateral e interrupção de serviços.

A falha não afeta o servidor SSH Dropbear, distribuições Linux baseadas em glibc, sistemas operacionais não Linux ou ambientes que realizam a verificação de senhas por meio do PAM.

Ataques começaram poucas horas após a divulgação

A Previdian identificou a primeira tentativa de exploração menos de nove horas depois da publicação da CVE-2026-123158.

Os dados de telemetria registraram oito tentativas de exploração originadas de um endereço IP geolocalizado no Japão. A empresa também confirmou que o ataque conseguiu obter acesso root em um honeypot executando Alpine Linux e OpenSSH.

Segundo Ryan Dewhurst, fundador e CEO da Previdian, o endereço IP 89.116.89[.]18 utilizou senhas excessivamente longas para contornar a autenticação e executar comandos de reconhecimento, incluindo id, uname e hostname, por meio de sessões SSH não interativas.

Esses comandos permitem identificar informações sobre o usuário autenticado, o sistema operacional e o nome do equipamento, dados que podem auxiliar nas etapas seguintes de uma invasão.

Embora a exploração tenha sido confirmada no ambiente de monitoramento, os dados apresentados não estabelecem a extensão de possíveis comprometimentos em servidores de produção.

OpenSSH 10.6p2 corrige a vulnerabilidade

A falha foi corrigida no OpenSSH 10.6p2. Administradores de sistemas afetados devem instalar essa versão ou o pacote corrigido disponibilizado pela distribuição Linux e reiniciar o serviço sshd para aplicar a atualização.

O projeto Alpine Linux também recomenda investigar registros de autenticação SSH envolvendo contas que não deveriam aceitar logins por senha.

A orientação é verificar o arquivo /var/log/messages em busca de entradas contendo Accepted password for, especialmente quando associadas a contas como alpine, root ou usuários configurados exclusivamente para autenticação por chaves SSH.

Também é recomendado revisar a utilização do doas, a criação recente de usuários, arquivos modificados e alterações nas chaves autorizadas de máquinas expostas.

Segundo o Alpine Linux, quando não for possível descartar a ocorrência de um login não autorizado, o equipamento deverá ser tratado como comprometido.