OpenSSH מתקנת את פגם עקיפת האימות ״SSHole״ במערכות Linux המשתמשות ב־musl libc

OpenSSH פרסמה תיקוני חירום לעקיפת אימות בחומרה גבוהה, שכונתה SSHole ונרשמה כ־CVE-2026-123158 עם ציון CVSS של 8.1. הפגם משפיע על שרת OpenSSH (sshd) בהפצות Linux המשתמשות במימוש musl libc כאשר Pluggable Authentication Module (PAM) מושבת. לפי SecurityWeek, פירוש שגוי של השאלה אם מחרוזת מיועדת להיות גיבוב של סיסמה מאפשר לתוקפים לגשת לחשבונות מסוימים באמצעות כל סיסמה שאורכה בין 257 ל־1,024 תווים. התיקונים כלולים ב־OpenSSH 10.6p2.

Damien Miller, מפתח OpenSSH, אמר שהפגם אינו ב־sshd עצמו אך ניתן לנצל אותו באמצעות sshd. לדבריו, הגרסה פורסמה במהירות האפשרית משום שהפרויקט נודע על הבעיה יום קודם לכן ושם לב לאחרונה למקרים רבים של גילוי חוזר מהיר של באגים בידי סוכני בינה מלאכותית, לעיתים בתוך שעות. Alpine Linux קראה למשתמשים להחיל את התיקונים ולהפעיל מחדש את sshd, או להשבית התחברות באמצעות סיסמה ולהפעיל מחדש את sshd. Alpine אמרה שכל גרסה שנבדקה, מ־3.21 ועד 3.24 וגם edge, חשופה, וכך גם הגרסאות הישנות 3.16 עד 3.20 שאינן מקבלות עוד עדכונים סדירים.

Fredrik Almroth, מייסד שותף וחוקר אבטחה ראשי ב־Detectify, אמר שהתקיפה פשוטה ושהוא מצפה שסריקות יתחילו בתוך שעות, אך ציין שטרם נראו דיווחים על ניצול. Jake Knott, ראש מודיעין איומים ב־WatchTowr, ייעץ לארגונים לעדכן במידת האפשר ולהשבית אימות מבוסס סיסמה כצעד מקל זמני אם אינם יכולים לעדכן.

למה זה חשוב בכל מארח Linux שמריץ sshd ללא PAM על musl libc, ובכלל זה מערכות Alpine, OpenWrt, Buildroot ו־Yocto, כדאי לבדוק חשבונות ששדה הסיסמה שלהם הוא * וחשבונות מקומיים עם גיבוב $5$ או $6$. מכיוון שהתקיפה דורשת חיבור אחד ויש פרטים פומביים, מומלץ למנהלי מערכות להחיל את OpenSSH 10.6p2 או את התיקון של ההפצה, או להשבית התחברות באמצעות סיסמה כצעד זמני. הניתוח שלנו הוא ששירותי SSH חשופים הם המקום הראשון לחפש בו, שכן צפוי שהסריקות יתחילו במהירות.