Κρίσιμο κενό ασφαλείας στο OpenSSH απειλεί συστήματα Linux: Σε πλήρη εξέλιξη οι επιθέσεις χάκερ

Σε κατάσταση αυξημένου συναγερμού βρίσκεται η παγκόσμια κοινότητα κυβερνοασφάλειας, καθώς χάκερ έχουν αρχίσει να εκμεταλλεύονται ενεργά μια νεοανακαλυφθείσα, κρίσιμη ευπάθεια σε διακομιστές Linux. Το κενό ασφαλείας, το οποίο έχει καταχωριστεί επίσημα ως CVE-2026-123158 και αναφέρεται στην κοινότητα με την ονομασία *sshole, επιτρέπει σε κακόβουλους δράστες να αποκτούν μη εξουσιοδοτημένη πρόσβαση σε λογαριασμούς υψηλών προνομίων μέσα σε λίγα δευτερόλεπτα.

Πώς λειτουργεί ο μηχανισμός παράκαμψης στο Linux

Το πρόβλημα εντοπίζεται στην προβληματική αλληλεπίδραση μεταξύ του ευρέως διαδεδομένου πρωτοκόλλου OpenSSH και της βιβλιοθήκης κώδικα musl, μιας ελαφριάς εναλλακτικής της παραδοσιακής libc. Η ευπάθεια επηρεάζει κυρίως διανομές όπως το Alpine Linux, οι οποίες βασίζονται σε αυτόν τον συνδυασμό για αποδοτική λειτουργία σε περιβάλλοντα cloud και containers.

Για να επιτύχει η επίθεση, το σύστημα-στόχος πρέπει να μην αξιοποιεί μονάδες πιστοποίησης PAM και να περιλαμβάνει λογαριασμούς χωρίς κωδικό, οι οποίοι φέρουν τον χαρακτήρα «*» στο πεδίο κωδικού του αρχείου /etc/shadow. Όταν ένας επιτιθέμενος εισάγει έναν κωδικό πρόσβασης που ξεπερνά τους 256 χαρακτήρες, η συνάρτηση κατακερματισμού της musl παράγει σφάλμα και επιστρέφει ως αποτέλεσμα έναν αστερίσκο («*»). Το OpenSSH ερμηνεύει εσφαλμένα αυτή την τιμή ως έγκυρη ταύτιση με τον καταχωρισμένο κωδικό, παραχωρώντας άμεσα πλήρη δικαιώματα πρόσβασης στον εισβολέα.

Ενεργές εκστρατείες επιθέσεων και κακόβουλο λογισμικό

Μόλις λίγα 24ωρα μετά τη δημοσιοποίηση της ευπάθειας, ειδικοί σε θέματα ασφάλειας επιβεβαίωσαν ότι οι κυβερνοεπιθέσεις έχουν ήδη περάσει στη φάση της μαζικής εκμετάλλευσης. Η εταιρεία ασφαλείας Greynoise ανακοίνωσε ότι παγίδες (honeypots) που διατηρεί στη Νοτιοανατολική Ασία δέχτηκαν εξελιγμένες εισβολές από ομάδα με την κωδική ονομασία GT10. Οι εισβολείς εγκαθιστούν το backdoor «TAC Agent», ένα εργαλείο που φαίνεται να δημιουργήθηκε με τη βοήθεια τεχνητής νοημοσύνης και περιέχει σχόλια στην κινεζική γλώσσα, ενώ επιβάλλει και την εγκατάσταση του Python3 για να εξασφαλίσει μόνιμη παρουσία στο παραβιασμένο σύστημα.

Παράλληλα, οι ερευνητές της εταιρείας watchTowr κατέγραψαν έντονη δραστηριότητα εκμετάλλευσης που συνδέεται με τη δημιουργία botnets και την εξόρυξη κρυπτονομισμάτων.

Αντίστοιχα ευρήματα ανέφερε και η εταιρεία Previdian, της οποίας οι αισθητήρες εντόπισαν πολλαπλές απόπειρες εκμετάλλευσης από μοναδικές διευθύνσεις IP διασκορπισμένες σε εννέα χώρες, γεγονός που υποδεικνύει την ταχύτατη διάχυση των τεχνικών επίθεσης στο διαδίκτυο.

Άμεση ανάγκη για αναβαθμίσεις και μέτρα προστασίας

Η ευκολία με την οποία μπορεί να διεξαχθεί η επίθεση καθιστά το CVE-2026-123158 εξαιρετικά επικίνδυνο, καθώς εκατομμύρια διακομιστές SSH είναι άμεσα εκτεθειμένοι στο δημόσιο διαδίκτυο. Η κοινοπραξία του OpenSSH έχει ήδη διαθέσει διορθωτικό κώδικα που αποτρέπει την αξιοποίηση της αδυναμίας.

Οι αναλυτές ασφαλείας και η Red Hat συνιστούν στους διαχειριστές συστημάτων να προχωρήσουν άμεσα στην αναβάθμιση των εγκαταστάσεων OpenSSH στην τελευταία διαθέσιμη έκδοση. Παράλληλα, όσοι διαχειρίζονται περιβάλλοντα βασισμένα στη βιβλιοθήκη musl καλούνται να ελέγξουν εξονυχιστικά τις ρυθμίσεις ταυτοποίησης των λογαριασμών τους, διασφαλίζοντας ότι δεν υπάρχουν εκτεθειμένες παράμετροι σύνδεσης χωρίς ασφαλείς μεθόδους πιστοποίησης.