外媒報導，遠端登入工具 OpenSSH 的高風險驗證繞過漏洞
SSHole（
CVE-2026-123158），已遭駭客實際利用。OpenSSH 維護團隊於 11 月 5 日釋出 10.6p2 修補，威脅情資業者 GreyNoise 記錄到首起成功利用發生在 11 月 7 日，距修補約 40 小時。
受影響的是使用 musl libc 函式庫的 Linux 發行版，管理者應儘速升級或停用密碼驗證。
修補後約 40 小時出現首起成功攻擊
漏洞由資安研究人員 Ozgun Kultekin 上週公開。外媒指出，概念驗證（PoC）攻擊程式約在 10.6p2 釋出四小時後出現，多家資安業者證實，攻擊嘗試從 11 月 5 日開始。
GreyNoise 於 11 月 7 日 00:46（UTC）記錄到首起成功利用。該公司共記錄 16 條成功的攻擊鏈，目標是受其保護的網路，來自 6 個與入侵後活動有關的來源 IP。GreyNoise 強調，這些攻擊不代表 SSHole 的整體攻擊活動。
網路安全業者 Previdian 的感測器記錄到 20 次利用嘗試，涉及 13 個攻擊者 IP，來自 9 個國家。芬蘭資安業者 Defused 指出，只觀察到少數攻擊者嘗試利用，活動並不普遍。攻擊式資安業者 WatchTowr 則表示，目前看到的利用與僵屍網路（botnet）和加密貨幣挖礦有關。外媒預期，其他攻擊者也將陸續跟進。
攻擊者偵察雲端環境並部署 TAC Agent
在 GreyNoise 觀察到的攻擊中，攻擊者先對系統與容器進行偵察，並向雲端中繼資料服務（cloud metadata service）發出查詢。接著嘗試讀取密碼雜湊值（password hash）與 root 的 SSH 金鑰，也試圖修改 authorized_keys 檔案，以取得持續存取能力。
其中一名攻擊者取得 root 權限後，安裝名為 TAC Agent 的 Python 指揮與控制（C2）代理程式。不過該程式無法連上 C2 伺服器 tac.vpnla[.]org，也未收到任何任務。
GreyNoise 分析指出，TAC Agent 可執行 shell 指令、進行大範圍系統偵察、上傳與下載檔案，並能自我更新。該程式沒有內建持續性機制，攻擊者另外設定開機啟動服務來維持運作。
超長密碼讓 sshd 誤判驗證通過
SSHole 的成因是系統誤判某個字串是否為密碼雜湊值。攻擊者只要提供長度介於 257 至 1024 個字元的任意密碼，就可能登入密碼欄位被設為「*」的帳號。這類帳號原本是用來禁止密碼登入，例如 root。
受影響的是使用 musl libc 且停用可插拔驗證模組（Pluggable Authentication Module，PAM）的 Linux 發行版，包括 Alpine、Buildroot、OpenWrt、Yocto 等。Kultekin 表示，攻擊需要特定的驗證設定，已設有有效密碼雜湊值的帳號不受影響；若被入侵的帳號具備免密碼的管理權限，則可能取得 root。
問題出在 OpenSSH 伺服器程式（sshd）的驗證流程。sshd 會將輸入的密碼與帳號儲存的雜湊值比對。若帳號沒有雜湊值，sshd 便借用其他帳號雜湊值中的鹽值（salt）來處理登入請求。當密碼超過 256 位元組時，musl 的 crypt() 函式會失敗，卻不是回傳 NULL，而是回傳「」。這剛好與目標帳號儲存的「」相符，sshd 因此判定密碼正確。
在 Alpine 中，受影響的帳號包括 root、以 adduser 建立但未設定密碼的純金鑰（key-only）使用者、官方 tiny-cloud 映像檔中的 alpine 使用者，以及透過 musl-nscd 取得的目錄服務使用者。
防護建議
外媒建議管理者採取以下措施：
- 儘速將 OpenSSH 更新至 10.6p2
- 無法立即升級者，停用 SSH 密碼驗證（OpenSSH 預設為啟用），或暫時停用 SSH
- 檢查 /etc/shadow 密碼欄位為「*」的帳號，是否出現非預期的密碼登入成功紀錄
- 檢查是否有未經授權的 SSH 金鑰
- 檢查系統中是否有 TAC Agent 檔案或相關開機啟動服務
本文轉載自 SecurityWeek、BleepingComputer。