允许黑客通过SSH访问Linux设备的漏洞正被积极利用

爱拍照的老李
爱拍照的老李

爱拍照的老李

2026年11月10日 09:00
湖北

去阅读

导读

多名研究人员报告称，黑客正在积极利用一个新发现的严重漏洞，该漏洞使他们能够登录许多Linux系统上的特权账户。

这个被命名为\sshole\的漏洞源于OpenSSH与名为musl的代码库之间的交互。同时使用这两个软件包且满足其他特定条件的Linux系统，可能在短短几秒内被黑客入侵，从而未经身份验证就能访问高权限账户。\sshole\于上周四被公之于众，并迅速引发了人们的担忧，认为它可能导致Linux设备被广泛入侵。四天后，这一预测有了成真的迹象。

实施“成熟入侵”的攻击者

安全公司 Greynoise 周一表示，其在东南亚部署的蜜罐遭到了一个被该公司追踪为 GT10 的威胁组织攻击。该组织对这些系统实施了“成熟的入侵行动”，而 Greynoise 正是利用这些系统实时检测未遂或已发生的攻击。

Greynoise 接入了一台 GT10 的服务器，该服务器暴露了潜在的其他受害者以及此次攻击行动中使用的部分工具。该组织在攻击中使用的一款后门程序包含中文注释，且似乎是借助人工智能生成的。

Greynoise 表示，GT10 还会在尚未安装 Python3 的设备上部署该版本，因为运行名为 TAC Agent 的黑客后门程序需要此软件包。TAC Agent 支持多种功能，包括执行 shell 命令、系统侦察以及维持持久化访问。OpenSSH 已发布修复补丁，可阻止此类攻击生效。

安全公司 watchTowr 的研究人员周五表示，他们也发现了与僵尸网络和加密货币相关的攻击活动。安全公司 Previdian 也报告了类似的活动。该公司表示，其传感器已从位于9个国家的13个不同攻击者IP地址捕获到20次攻击尝试。

这个被标记为 CVE-2026-123158 的漏洞存在于 OpenSSH 中，且该漏洞仅在 OpenSSH 与 musl（广受欢迎的 libc 代码库的 Linux 替代版本）同时运行时才会出现。此外，OpenSSH 不得使用 PAM（可插入式认证模块）——这是一个用于处理用户认证和账户访问检查的框架。同时，SSH 配置需满足两个条件：(1) 至少有一个账户可通过使用 SHA256 或 SHA512 函数哈希处理的密码访问；(2) 需在 /etc/shadow 文件的密码字段中指定“\*”，以配置无密码账户。无密码配置是特定类型账户的标准设置。

当攻击者为无密码账户输入超过256个字符的密码时，就会触发漏洞。这一情况发生在OpenSSH服务器对提供的密码进行哈希处理，并与存储在/etc/shadow文件中的哈希值进行比对时。过长的密码会产生错误，导致musl的密码哈希函数返回“\*”。红帽公司表示，此类攻击利用了“对字符串是否为密码哈希的误判”问题。

尽管存在多个必要前提条件，但CVE-2026-123158对大量计算机构成了严重威胁，尤其是运行Alpine（一款轻量级Linux发行版）的设备。该漏洞极易被利用，黑客可在数秒内向数百万台暴露在互联网上的SSH服务器发送恶意指令，并识别出其中潜在的脆弱设备。所有使用OpenSSH的用户都应立即安装更新。使用musl的用户则需进一步排查相关问题。

详细漏洞公告：

https://sshole.events.greynoise.io/

新闻链接：

https://arstechnica.com/security/2026/11/vulnerability-that-lets-hackers-ssh-into-linux-devices-is-under-active-exploitation/

扫码关注

爱拍照的老李

讲述普通人能听懂的安全故事