オープンSSHの認証バイパス、公開9時間で実攻撃

公開されたオープンSSHの認証バイパス脆弱性「SSHole」（CVE-2026-123158、CVSS 8.1）が、公開から9時間以内に実際の攻撃で悪用された。セキュリティ企業が運用するハニーポットで、攻撃者がパスワードやSSH鍵なしでログインし、root権限を取得したことを確認した。dailysecu.comが伝えた。

脅威インテリジェンス企業のPrevidiianは11月6日、この脆弱性を狙う実攻撃の試行を観測したと発表した。最初の攻撃は公開から9時間以内に発生し、日本に所在するIPアドレス89.116.89[.]18から8件の試行があった。

攻撃者は異常に長いパスワードを入力して認証を回避し、その後id、uname、hostnameなどのコマンドを実行してユーザー権限やOS情報を収集した。Previdiianは、Alpine Linuxベースのハニーポット上で攻撃者が実際にroot権限を獲得したことを確認している。

影響範囲と修正

この脆弱性は、オープンSSHのパスワード検証処理とmusl Cライブラリの暗号処理が組み合わさることで生じる。影響を受けるのは主に、PAM認証を無効にしたmusl Cライブラリ使用のオープンSSHサーバーで、Alpine Linuxの一部のデフォルト設定も該当する。glibcベースの標準的なLinuxディストリビューションやPAM認証を使う環境は直接の影響を受けない。

オープンSSHプロジェクトは11月5日、修正版のOpenSSH 10.6p2を公開し、Alpine Linuxも修正パッケージを提供している。KISAは11月7日にセキュリティ更新情報を発行し、影響を受けるシステムへの速やかなパッチ適用を呼びかけた。

今回の攻撃成功はセキュリティ企業のハニーポットでのみ確認されており、実際の企業サーバーの侵害や追加マルウェアの設置は確認されていない。