Explotan activamente la vulnerabilidad SSHole de OpenSSH contra sistemas Linux

El 9 de noviembre de 2026, varias empresas de ciberseguridad confirmaron la explotación activa de SSHole (CVE-2026-123158), una vulnerabilidad de OpenSSH que permite evadir la autenticación en determinados sistemas Linux basados en musl, incluido Alpine Linux. Los primeros intentos se detectaron el 5 de noviembre, coincidiendo con la publicación de un exploit de prueba de concepto.

La vulnerabilidad permite iniciar sesión en cuentas cuyo campo de contraseña contiene un asterisco (*) para impedir el acceso mediante contraseña. Una contraseña sobredimensionada provoca que la función de hash de contraseñas de musl devuelva un asterisco en caso de error, valor que OpenSSH interpreta erróneamente como coincidente con el almacenado.

Según GreyNoise, los primeros casos de explotación exitosa en Internet se registraron el 7 de noviembre a las 00:46 UTC. La compañía identificó 16 cadenas de explotación contra redes protegidas por sus sistemas, procedentes de seis direcciones IP. Los atacantes realizaron reconocimiento del sistema y de contenedores, consultaron servicios de metadatos cloud, intentaron acceder a hashes de contraseñas y claves SSH de root, y modificaron archivos authorized_keys para mantener el acceso.

En uno de los incidentes, el atacante obtuvo privilegios de root e instaló TAC Agent, un agente de mando y control escrito en Python. El implante permite ejecutar comandos de shell, recopilar información del sistema, transferir archivos y actualizarse. Aunque no incorpora persistencia propia, los atacantes intentaron configurarla mediante un servicio de inicio. El agente no pudo conectarse a su servidor de mando y control, tac.vpnla[.]org, ni recibió órdenes.

Defused observó una cantidad reducida de actores intentando explotar SSHole, mientras Previdian registró 20 intentos desde 13 direcciones IP situadas en nueve países. watchTower también informó el 6 de noviembre de ataques vinculados a botnets y actividades de criptominería. OpenSSH corrigió el fallo en la versión 10.6p2, publicada el 5 de noviembre.

Se recomienda actualizar OpenSSH cuanto antes o desactivar la autenticación mediante contraseña en los sistemas afectados. Los administradores deberían revisar inicios de sesión exitosos e inesperados en cuentas cuyo campo de contraseña en /etc/shadow sea *, claves SSH no autorizadas y archivos o servicios de inicio relacionados con TAC Agent.

Fuente: BleepingComputer.