Хакеры используют SSHole для скрытого доступа к Linux-серверам

Хакеры нашли способ проникать в определенные учетные записи на серверах Linux, даже если для них запрещен вход по паролю. Для этого они используют уязвимость SSHole в OpenSSH — программе, которая позволяет удаленно управлять серверами через защищенное соединение SSH. Ошибка затрагивает системы с определенными настройками аутентификации и позволяет обойти защиту учетных записей, для которых парольный вход должен быть недоступен. После проникновения злоумышленники могут добавлять собственные SSH-ключи, чтобы сохранить доступ к системе даже после установки обновлений безопасности.

Как хакеры используют уязвимость SSHole

На некоторых Linux-серверах администраторы разрешают парольную авторизацию через SSH, но для отдельных учетных записей отключают возможность входа по паролю. Например, в файле /etc/shadow вместо хеша пароля для таких пользователей может находиться специальный символ *. Он означает, что парольная аутентификация для учетной записи недоступна.

Но в системах с библиотекой musl возникала ошибка: если переданный пароль превышал 256 байт, функция crypt(), которая участвует в проверке паролей, возвращала символ *. OpenSSH ошибочно воспринимал его как совпадение с сохраненным значением в /etc/shadow и разрешал вход. Поэтому злоумышленнику было достаточно отправить пароль длиной от 257 до 1024 байт — подбирать или знать настоящий пароль не требовалось.

Об уязвимости сообщил 5 ноября 2026 года исследователь Озгюн Кюльтекин. Ошибка затрагивала не все Linux-серверы, а только системы с определенными настройками. В частности, под угрозой оказались некоторые конфигурации Alpine Linux, где использовалась библиотека musl, OpenSSH работал без PAM или с отключенной проверкой PAM, была разрешена парольная авторизация по SSH и существовала хотя бы одна учетная запись с символом * вместо хеша пароля. Кроме того, на сервере должна была быть хотя бы одна другая локальная учетная запись с хешем пароля формата $5$ или $6$.

Первые попытки эксплуатации начались практически сразу после публикации информации об уязвимости. Уже 6 ноября компания Previdian сообщила об успешном проникновении на исследовательский сервер-ловушку с Alpine Linux и получении root-доступа. 7 ноября исследователи GreyNoise также зафиксировали успешную эксплуатацию SSHole на своих сенсорах. Злоумышленники изучали систему, проверяли доступные привилегии и искали способы закрепиться в ней. 9 ноября Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило CVE-2026-123158 в каталог Known Exploited Vulnerabilities (KEV), подтвердив эксплуатацию уязвимости в реальных атаках.

Почему обновления OpenSSH может быть недостаточно

Опасность SSHole не ограничивается проникновением хакера на сервер. Получив доступ к учетной записи, злоумышленник может просматривать доступные ей файлы, выполнять команды и менять настройки. Если ему удастся получить root-права, под его контролем окажется вся система.

На одной из серверных ловушек исследователи зафиксировали установку программы для удаленного управления. Однако ей не удалось связаться с управляющим сервером и получить дальнейшие команды.

Чтобы сохранить доступ к взломанному серверу, злоумышленники могут добавлять собственные SSH-ключи в список разрешенных для входа. Исследователи GreyNoise зафиксировали попытки изменить файлы authorized_keys во время атак с использованием SSHole. Если посторонний ключ остается в системе, злоумышленник может повторно подключаться к серверу даже после исправления уязвимости.

Поэтому установка обновления OpenSSH устраняет ошибку в проверке пароля, но не удаляет посторонние ключи и другие изменения, которые злоумышленник мог внести после взлома. Для восстановления безопасности сервера требуется дополнительная проверка.

Как защитить сервер от SSHole

Разработчики OpenSSH устранили уязвимость SSHole в версии 10.6p2 от 5 ноября 2026 года. Для некоторых более старых версий также выпустили исправления, поэтому администраторам необязательно переходить на последний релиз программы. Важно установить обновленный пакет из официального репозитория своего дистрибутива Linux.

Чтобы защитить сервер и проверить, не успели ли злоумышленники получить доступ, выполните несколько действий:

• Обновите OpenSSH и перезапустите службу sshd. Установка обновленного пакета сама по себе не гарантирует, что уже запущенный процесс использует исправленную версию. После обновления необходимо перезапустить службу.
• Отключите вход по паролю, если обновление пока недоступно. Установите параметр PasswordAuthentication no в конфигурации SSH. Перед изменением настроек убедитесь, что подключение по SSH-ключу работает. Не закрывайте текущую сессию, пока не проверите новое подключение.
• Проверьте журналы входов и учетные записи. Особое внимание уделите неожиданным успешным подключениям, появлению новых пользователей и посторонним SSH-ключам в файлах authorized_keys. Также проверьте использование sudo и doas, недавно установленные программы и подозрительные службы автозапуска.

Если обнаружены признаки взлома, важно выяснить, какие учетные записи использовали атакующие и что они успели изменить в системе. Для этого нужно проанализировать журналы безопасности, проверить установленные программы, настройки сервера и файлы с разрешенными SSH-ключами. Если факт компрометации подтвержден, следует удалить посторонние ключи и учетные записи, сменить скомпрометированные пароли и другие учетные данные, а при необходимости восстановить сервер из заведомо чистой резервной копии. Чтобы дополнительно защищать Linux-сервер, используйте Kaspersky Endpoint Security для Linux. Решение находит вредоносные программы и помогает блокировать подозрительную активность в поддерживаемых системах.

Статьи и ссылки по теме:

• Что такое операционная система Linux и насколько она безопасна?
• Эксплуатация уязвимостей и методы внедрения вредоносного ПО
• Как вредоносные программы проникают в систему

Рекомендуемые продукты:

• Kaspersky Premium
• Скачать бесплатную 30-дневную пробную версию Kaspersky Premium
• Kaspersky Endpoint Security для Linux

```