SSHole уже используют в атаках — проверьте сервер
В блоге хакеров вышел разбор уязвимости SSHole, которая уже используется в реальных атаках. Угроза затрагивает системы на базе Alpine Linux и других дистрибутивов с musl libc, позволяя обойти аутентификацию и получить root-доступ.
Уязвимость SSHole (CVE-2026-123158) уже эксплуатируется хакерами менее чем через сутки после выпуска патча OpenSSH 10.6p2. За несколько дней зафиксировано десятки попыток взлома, включая успешные входы в системы с отключённой парольной аутентификацией. Злоумышленники получают root-доступ, устанавливают бэкдоры, в том числе TAC Agent, и пытаются закрепиться через автозапуск и ключи в authorized_keys.
Главное — не то, что уязвимость уже активно используют, а то, что она затрагивает именно те системы, где парольная аутентификация отключена, но доступ остаётся. Это типичная ситуация для серверов, где по умолчанию включён SSH, но пароли отключены, а доступ — через ключи. Уязвимость не в самом SSH, а в его взаимодействии с musl libc в определённых конфигурациях.
Если у вас на сервере используется Alpine Linux, Buildroot, Yocto или OpenWrt с OpenSSH, проверьте версию OpenSSH. Убедитесь, что она обновлена до 10.6p2 или выше. Проверьте журналы SSH на входы в учётки, где парольная аутентификация отключена. Ищите незнакомые SSH-ключи, службы автозапуска, следы TAC Agent. Исправление — в патче, но не в настройке.
Мы делаем такие проекты: Корпоративные сайты. Поддерживаем, продвигаем, внедряем типовые и разрабатываем с нуля корпоративные сайты. Лендинг. Корпоративные сайты
Автор: Святослав Семенов из Cetera Labs