OpenSSH SSHole (CVE-2026-123158): Şifresiz Hesaplarda Şifre Atlama

Tehdit aktörleri SSHole açığını — CVE-2026-123158 (CVSS 8.1) — açıklamadan dokuz saat sonra istismar etmeye başladı; Alpine Linux honeypot'unda root erişimi doğrulandı. 8 Kasım güncellemesi, dokuz ülkeden 13 IP adresinden 20 girişim saydı.

Açık, kimlik doğrulamasız bir saldırganın devasa bir şifre ile şifresiz yapılandırılmış hesaplara giriş yapmasına izin verir — kimlik bilgisi hırsızlığı ya da SSH anahtarı gerekmez. Musl C kütüphanesi üzerinde çalışan ve PAM devre dışı sistemlerde OpenSSH çalıştıran Linux sistemlerini, Alpine'in varsayılan sunucu yapılandırması dahil, etkiler. glibc dağıtımları, Dropbear, Linux dışı sistemler ve PAM tabanlı şifre kontrolleri etkilenmez.

Nasıl Çalışır

Bug, 2016'da CVE-2016-6210 (kullanıcı adı numaralandırma) için gelen bir yamaya dayanır. Belirli koşullar altında OpenSSH'ın şifre işleme davranışı, başarısız bir hash'lemeyi başarılı bir kimlik doğrulama sayar: şifre alanı işaretleyici olarak kullanılan * değeriyle aynı değeri üretir ve işaretlediği hesabı şifresiz sanır.

Saldırgan, 257–1.024 bayt uzunluğunda rastgele bir şifre ile tetikler. Hash girişimi başarısız olur, * döner; sshd bunu hesabın şifre alanında saklanan * ile karşılaştırır ve saldırganı içeri alır. İstismar için en az bir hesabın şifre hash'inin tam olarak * olması gerekir. Geçerli şifre hash'i olan hesaplar atlatılamaz.

Safe Security özetle: başarılı bir saldırı, ele geçirilen hesabın mevcut yetkileriyle erişim verir — ardından dağıtım bilgileri, uygulama secret'ları ve yatay hareket.

Previdian telemetrisi honeypot'taki root'u ve keşif komutlarını (id, uname, hostname) 89.116.89[.]18 adresinden yakaladı. Açığı bulan araştırmacı Ozgun Kultekin, duyuruyu sshhole.com adresinden yaptı; OX Security'nin teknik incelemesi derin analizi sunar.

Ne Yapmalı

• OpenSSH 10.6p2 (veya dağıtımınızın yamalı paketi) kurun ve sshd'yi yeniden başlatın.
• Alpine'in önerisi: /var/log/messages içinde, şifreyle giriş yapmaması gereken bir hesaba (alpine, root veya herhangi bir anahtar-dışı kullanıcı) ait Accepted password for satırlarını arayın.
• Açık makinelere sonradan eklenen kullanıcıları, dosyaları ve yetkili anahtarları gözden geçirin. Emin olamıyorsanız makineyi ele geçirilmiş sayın.

Bir Sonraki Sınıf Bug'ın Devre Dışı Kalması İçin Sıkılaştırma

SSHole'un üç ön koşulu aynı anda gerekir: musl libc, PAM devre dışı ve şifre alanı tam olarak * olan bir hesap. Herhangi birini kaldırın, zincir kırılır. Somut olarak: Alpine imajlarında PAM'ı etkinleştirin, sshd_config'te UsePAM yes denetimi yapın; imaj build ve iş istasyonu sıkılaştırmasına awk -F: '$2 == "*"' /etc/shadow kontrolü ekleyin ki şifresiz hesap mayını hiçbir yerde gönderilmesin; zaten anahtar tabanlı erişimin standart olduğu yerlerde PasswordAuthentication no ayarlayın — bu, açığın yaşadığı kod yolunu tamamen kaldırır. Yama en önemlisi, ancak sıkılaştırma bir sonraki 2016-sınıfı bug'ı etkisiz hale getirir.

Kapanış ve Av Rehberi

SSHole, bir yamanın 2016'dan beri taşıdığı bir kenar koşulunun 2026'da patladığını gösterir. O yüzden yama ritmi yalnız yeterli değil: Accepted password for log'larında şifresiz hesaplara ait girişleri düzenli gözden geçirmek, /etc/shadow içinde * değerlerini imaj seviyesinde engellemek ve musl tabanlı makinelerde PAM'ı etkinleştirmek üçlü bir duvar oluşturur. Güvenlik şampiyonlarına göre, bu kadar dar bir yüzeyde "temel" kontrol eksikliği, üç ön koşul bir arada olduğunda tam felakete dönüşebilir — ve Açıklamadan dokuz saat sonra honeypot'ta root alınması, bu koşulların gerçek dünyada zaten mevcut olduğunu kanıtlar.

Kaynaklar

• The Hacker News haberi
• CVE-2026-123158 NVD kaydı
• OX Security teknik incelemesi
• SSHole duyuru sitesi
• OpenSSH 10.6p2 sürüm notları