ثغرة SSHole في OpenSSH تُستغل في هجمات حقيقية خلال 9 ساعات

رصدت شركة استخبارات التهديدات Previdiian يوم 6 نوفمبر 2026 محاولات هجوم حقيقية تستهدف ثغرة تجاوز المصادقة في OpenSSH، المعروفة باسم SSHole ومسجلة بالرمز CVE-2026-123158 بتقييم خطورة 8.1، وفق ما أوردته dailysecu.com. ووقعت أول محاولة هجوم خلال 9 ساعات من الكشف العلني عن الثغرة.

ووفقاً للبيانات التي نشرتها الشركة، جاءت 8 محاولات من عنوان IP يحمل الرمز 89.116.89[.]18 ويقع في اليابان. وتمكن المهاجمون من تجاوز المصادقة عبر إدخال كلمات مرور طويلة بشكل غير طبيعي، ثم نفذوا أوامر مثل id وuname وhostname لجمع معلومات عن صلاحيات المستخدم ونظام التشغيل.

وأكدت Previdiian أن المهاجم حصل فعلياً على صلاحيات root على نظام مُصيدة (honeypot) يعمل بتوزيعة Alpine Linux. ولم يُرصد الهجوم الناجح إلا داخل المُصيدة، دون تأكيد اختراق خوادم مؤسسات حقيقية أو تثبيت برمجيات خبيثة إضافية.

مصدر الثغرة والإصدارات المتأثرة

تنشأ الثغرة من تداخل عملية التحقق من كلمة المرور في OpenSSH مع طريقة تعامل مكتبة musl C مع التشفير. وتتأثر بشكل أساسي خوادم OpenSSH التي تستخدم مكتبة musl مع تعطيل مصادقة PAM، بما يشمل بعض إعدادات Alpine Linux الافتراضية، في حين لا تتأثر توزيعات Linux القياسية القائمة على glibc ولا البيئات التي تستخدم مصادقة PAM بشكل مباشر.

وكان مشروع OpenSSH قد أصدر النسخة 10.6p2 في 5 نوفمبر 2026 لإصلاح الثغرة، وتوفر Alpine Linux حزمًا مُرقّعة. وفي 7 نوفمبر 2026 أصدرت 한국인터넷진흥원(KISA) نشرة تحديث أمني حثّت فيها الأنظمة المتأثرة على تطبيق الترقيعات فوراً.