黑客利用OpenSSH「SSHole」漏洞入侵Linux系统

黑客正积极利用 OpenSSH 中的“SSHole”漏洞（CVE-2026-123158）执行命令、窃取凭据并建立持久化访问。

多家网络安全公司已确认这些攻击，并报告称利用尝试始于11月5日，即概念验证利用代码出现当天，次日便记录了成功利用案例。

该漏洞由安全研究员 Ozgun Kultekin 上周披露，可绕过运行于某些基于 musl 的 Linux 系统上的 OpenSSH 认证，包括云和虚拟环境中使用的轻量级 Alpine 发行版。

该漏洞允许攻击者登录密码哈希被设置为星号（*）以阻止密码登录的账户。

超长密码会导致 musl 的密码哈希函数在出错时返回 *，而 OpenSSH 错误地将其视为与账户存储值匹配。

Kultekin 解释称，利用该漏洞需要特定的认证设置，不影响具有有效密码哈希的账户，并且在被入侵账户拥有免密管理权限的情况下可导致 root 访问。

OpenSSH 维护者在11月5日发布的 10.6p2 版本中修复了该漏洞，而利用代码大约四小时后出现。

芬兰安全公司 Defused 周末表示，已观察到“少量行为者”试图利用 SSHole，尽管活动并不广泛。

威胁情报公司 GreyNoise 记录了11月7日 00:46 UTC 首次在野成功利用 SSHole，距离修复发布约40小时。

研究人员记录了16条针对 GreyNoise 保护网络的成功利用链，来自六个与后利用活动相关的源 IP 地址。该公司表示，这些攻击并不代表涉及 SSHole 的更广泛活动。

在 GreyNoise 观察到的攻击中，威胁行为者进行了系统和容器侦察，向云元数据服务发起查询，试图读取密码哈希和 root SSH 密钥，并尝试修改 SSH 的 authorized_keys 文件以获取持久化访问。

一名攻击者获得了 root 权限并安装了 TAC Agent，这是一个 Python 命令与控制代理。然而，该植入物无法连接到其位于 tac.vpnla[.]org 的命令与控制（C2）服务器，从未收到任务。

对 TAC Agent 载荷的分析显示，该植入物支持 shell 命令执行、广泛的系统侦察、文件上传/下载操作，并可自我更新。

该代理没有内置持久化机制，因此攻击者试图通过配置启动服务来确保其运行。

GreyNoise 指出，该植入物的注释、日志和错误信息均为中文，这可能与其他证据结合用于判定攻击者来源。

一个表明可能存在自动化操作的发现是缺少工具检查，该检查会返回反馈，可帮助自动化规划器根据需要修改命令以推进攻击。

总体而言，GreyNoise 记录了 2750 万次 22 端口扫描和 2010 万次 SSH 会话尝试，尽管这些并非确认为 SSHole 攻击。

网络安全公司 Previdian 的传感器也确认了成功的 SSHole 利用，遥测数据显示来自九个国家13个攻击者 IP 的20次尝试。

攻击性安全公司 watchTower 于11月6日表示，观察到 SSHole 在与僵尸网络和加密货币挖矿活动相关的攻击中被利用。

系统管理员应尽快更新 OpenSSH，或在受 SSHole 影响的系统上禁用 SSH 密码认证。

还建议检查是否存在意外的成功密码登录（针对 /etc/shadow 密码字段为 * 的账户）、未经授权的 SSH 密钥，以及 TAC Agent 文件或启动服务。

Adaptive Security 的 AI 代理分析电子邮件意图、上下文和行为，以发现钓鱼、商业电子邮件入侵和发票欺诈。

通过14天对 Microsoft 365 或 Google Workspace 的只读扫描，了解哪些内容正在通过，无需更改 MX。

SonicWall 警告新的 SSL-VPN MFA 绕过漏洞已被利用于攻击 OpenSSH 漏洞允许攻击者登录密码禁用的 Linux 账户 超过1000台 GitLab 服务器易受持续 RCE 攻击 CISA 称最高严重级别的 GitLab 漏洞现已在野被利用 Alpine Linux 在遭遇 RCE 攻击尝试后重建 GitLab