OpenSSH : des attaques réelles moins de 9 heures après la publication de la faille SSHole
Previdiian a confirmé l'obtention de privilèges root sur un honeypot Alpine Linux après des tentatives d'authentification par mots de passe anormalement longs.
Une faille de contournement d'authentification dans OpenSSH, identifiée CVE-2026-123158 (CVSS 8.1) et baptisée « SSHole », a été exploitée lors d'attaques réelles dans les 9 heures suivant sa publication, selon dailysecu.com. La première tentative a été observée moins de 9 heures après cette publication, avec 8 requêtes provenant de l'adresse IP 89.116.89[.]18, localisée au Japon.
La société de veille sur les menaces Previdiian a indiqué le 6 novembre avoir observé des tentatives d'attaque réelles visant la vulnérabilité. Les attaquants se sont connectés aux serveurs sans mot de passe ni clé SSH valides, en saisissant des mots de passe anormalement longs, puis ont exécuté des commandes telles que id, uname et hostname afin de collecter des informations sur les privilèges de l'utilisateur et sur le système d'exploitation.
Previdiian a confirmé que l'attaquant avait effectivement obtenu les privilèges root sur un honeypot fonctionnant sous Alpine Linux. Cette compromission n'a été constatée que sur ce honeypot : aucune atteinte à des serveurs d'entreprise réels ni installation de logiciel malveillant supplémentaire n'a été confirmée.
Origine technique et correctifs
La vulnérabilité résulte de la combinaison du processus de vérification des mots de passe d'OpenSSH et de la gestion cryptographique de la bibliothèque C musl. Les environnements concernés sont principalement des serveurs OpenSSH utilisant musl avec l'authentification PAM désactivée, dont certaines configurations par défaut d'Alpine Linux. Les distributions Linux standard reposant sur glibc et les environnements recourant à l'authentification PAM ne sont pas directement affectés.
Le projet OpenSSH a publié le 5 novembre la version OpenSSH 10.6p2, qui corrige la faille, et Alpine Linux met à disposition des paquets corrigés. KISA a de son côté publié le 7 novembre un avis de mise à jour de sécurité et appelle les systèmes concernés à appliquer les correctifs sans délai.
En bref
Qu'est-ce que la faille SSHole (CVE-2026-123158) ?
Un contournement d'authentification dans OpenSSH noté CVSS 8.1, issu de la combinaison de la vérification des mots de passe d'OpenSSH et de la gestion cryptographique de la bibliothèque musl.
Quels systèmes sont affectés ?
Surtout les serveurs OpenSSH utilisant musl avec l'authentification PAM désactivée, dont certaines configurations par défaut d'Alpine Linux. Les distributions glibc et les environnements PAM ne sont pas directement affectés.
Quelle version corrige la vulnérabilité ?
OpenSSH 10.6p2, publié le 5 novembre ; Alpine Linux fournit également des paquets corrigés.