OpenSSH'ta "SSHole" açığı: Alpine sunucularda parolası kapalı hesaplara giriş mümkün, saldırılar saatler içinde başladı

OpenSSH geliştiricileri, "SSHole" adı verilen ve belirli Linux sistemlerinde parolası devre dışı bırakılmış hesaplara giriş yapılmasına imkân tanıyan bir açık için acil düzeltme yayımladı. CVE-2026-123158 kimlikli zafiyet CVSS 8.1 puanla derecelendirildi ve OpenSSH 10.6p2 sürümünde giderildi.

Açığı güvenlik araştırmacısı Özgün Kültekin buldu. Araştırmacıya göre hata, 2016'da kullanıcı adı tespitine karşı yayımlanan bir düzeltmeyle (CVE-2016-6210) koda girdi ve yaklaşık on yıldır duruyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Hangi sistemler risk altında?

Sorun yalnızca musl C kütüphanesi kullanan ve parola kontrolünü PAM olmadan yapan sistemlerde ortaya çıkıyor. Alpine Linux'un varsayılan OpenSSH sunucu yapılandırması bu tanıma uyuyor; OpenWrt, Buildroot ve Yocto tabanlı sistemler de etkilenebilir durumda. Debian, Ubuntu, Fedora gibi glibc tabanlı dağıtımlar, PAM kullanan sistemler ve Dropbear etkilenmiyor.

İstismar için parola girişinin açık olması ve sistemde parola özeti * olarak ayarlanmış en az bir hesap bulunması gerekiyor. Belirli uzunluktaki aşırı uzun bir parola gönderildiğinde başarısız olan özetleme işlemi, kapalı hesaplarla aynı değeri döndürüyor ve bu durum başarılı giriş gibi değerlendiriliyor. Geçerli parolası olan hesaplar bu yolla atlatılamıyor.

BleepingComputer'a göre en riskli senaryo, Alpine'in resmi AWS ve Azure imajlarındaki alpine hesabı; bu hesabın parolasız doas yetkisi root erişimine kapı açabiliyor.

Saldırılar hızla başladı

Previdian'ın bal küpü (honeypot) verilerine göre ilk istismar denemesi, CVE yayımlandıktan dokuz saatten kısa bir süre sonra geldi. Alpine Linux ve OpenSSH çalıştıran bir tuzak sunucuda root erişimi elde edildi; saldırganın ardından sistem bilgisi toplamaya yönelik keşif komutları çalıştırdığı görüldü.

Ne yapılmalı?

• OpenSSH'ı 10.6p2 sürümüne veya dağıtımın yamalı paketine yükseltin, ardından sshd hizmetini yeniden başlatın.
• Yama hemen uygulanamıyorsa SSH sunucusunda parola ile girişi kapatın.
• SSH loglarında, parola kabul etmemesi gereken hesaplara yapılmış başarılı parola girişlerini arayın.
• İnternete açık makinelerde doas kullanımı, yeni oluşturulan kullanıcılar ve authorized_keys dosyalarını gözden geçirin; şüpheli bir giriş dışlanamıyorsa sistemi ele geçirilmiş kabul edin.