오픈SSH 'SSHole' 취약점, 공개 9시간 만에 실제 공격 발생

오픈SSH의 인증 우회 취약점이 공개된 지 9시간 만에 실제 공격에 악용됐다. 취약점 식별번호는 CVE-2026-123158, CVSS 점수는 8.1이며 'SSHole'이라는 별칭이 붙었다.

위협 인텔리전스 업체 프레비디안은 11월 6일 해당 취약점을 노린 실제 공격 시도를 관측했다고 밝혔다. 첫 공격은 취약점 공개 후 9시간 이내에 이뤄졌으며, 일본에 위치한 IP 주소 89.116.89[.]18에서 8차례의 시도가 확인됐다.

공격자들은 비정상적으로 긴 비밀번호를 입력해 인증을 우회한 뒤 id, uname, hostname 등의 명령을 실행해 사용자 권한과 운영체제 정보를 수집했다. 프레비디안은 공격자가 알파인 리눅스 기반 허니팟에서 실제 루트 권한을 획득했다고 확인했다.

다만 성공한 공격은 보안 업체의 허니팟에서만 관측됐으며, 실제 기업 서버의 침해나 추가 악성코드 설치 여부는 확인되지 않았다. 이 취약점은 오픈SSH의 비밀번호 검증 과정과 musl C 라이브러리의 암호 처리 방식이 결합되면서 발생한다. PAM 인증을 비활성화한 채 musl C 라이브러리를 사용하는 오픈SSH 서버가 주된 영향을 받으며, 알파인 리눅스의 일부 기본 설정이 여기에 해당한다. glibc 기반 리눅스 배포판과 PAM 인증을 사용하는 환경은 직접적인 영향을 받지 않는다.

오픈SSH 프로젝트는 11월 5일 오픈SSH 10.6p2를 배포해 취약점을 수정했고, 알파인 리눅스도 패치된 패키지를 제공하고 있다. 한국인터넷진흥원(KISA)은 11월 7일 보안 업데이트 권고를 발표하고 영향받는 시스템에 신속한 패치 적용을 촉구했다.