Уязвимость OpenSSH, позволяющая проникать в Linux-устройства, активно эксплуатируется
Компании по безопасности watchTowr и Previdian фиксируют атаки на уязвимость CVE-2026-123158 в OpenSSH при работе с библиотекой musl. Пользователям советуют незамедлительно установить обновление.
Компания по кибербезопасности watchTowr в пятницу сообщила, что наблюдает активную эксплуатацию уязвимости CVE-2026-123158. Она затрагивает OpenSSH — широко используемое серверное ПО удалённого доступа (SSH) в системах Linux. Активность связана с ботнетами и криптовалютой. О схожей активности сообщила и компания Previdian: её сенсоры зафиксировали 20 попыток эксплуатации с 13 уникальных IP-адресов злоумышленников, находящихся в девяти странах.
Уязвимость находится в OpenSSH, когда он работает вместе с musl — альтернативой широко используемой библиотеке кода libc в Linux. Должны выполняться и дополнительные условия. OpenSSH не должен использовать PAM (pluggable authentication modules) — фреймворк, отвечающий за аутентификацию пользователей и проверку доступа к учётным записям. В конфигурации должна быть минимум одна учётная запись с паролем, хешированным функцией SHA256 или SHA512. Кроме того, должны присутствовать учётные записи без пароля, для которых в поле пароля файла /etc/shadow указан символ «*». Такие настройки типичны для некоторых видов учётных записей.
Как работает атака
Злоумышленник вводит для учётной записи без пароля пароль длиннее 256 символов. На этом этапе сервер OpenSSH хеширует введённый пароль и сравнивает его с хешем, хранящимся в /etc/shadow. Слишком длинный пароль вызывает ошибку, из-за которой функция хеширования паролей musl возвращает «*». По словам Red Hat, атаки используют «неверную интерпретацию того, предназначена ли строка для использования в качестве хеша пароля».
Риски и рекомендации
Несмотря на необходимость выполнения нескольких условий, CVE-2026-123158 угрожает большому числу машин, прежде всего работающих на Alpine — облегчённом дистрибутиве Linux. Благодаря простоте эксплуатации злоумышленники могут отправлять вредоносные команды любому из миллионов SSH-серверов, доступных из интернета, и за считаные секунды выявлять потенциально уязвимые. Всем, кто использует OpenSSH, следует незамедлительно установить обновление, а пользователям musl — изучить ситуацию подробнее.
