Pelaku ancaman siber dilaporkan tengah berupaya mengeksploitasi celah keamanan OpenSSH yang baru saja diungkap ke publik, yang memungkinkan penyusupan ke akun-akun tanpa kata sandi, menurut laporan Previdian.
Kerentanan yang tercatat sebagai CVE-2026-123158 (skor CVSS: 8.1) dan diberi nama sandi SSHole (atau *sshole) ini berdampak pada sistem Linux yang menjalankan OpenSSH di atas pustaka musl C dengan Pluggable Authentication Modules (PAM) dinonaktifkan, termasuk konfigurasi bawaan server OpenSSH pada Alpine Linux.
Seorang penyerang tanpa autentikasi dapat mengirimkan kata sandi berukuran terlalu besar guna mengakses akun-akun yang sengaja dikonfigurasi tanpa kata sandi yang valid, tanpa perlu mencuri kredensial maupun kunci SSH terlebih dahulu. Masalah yang ditemukan oleh peneliti keamanan Ozgun Kultekin ini telah resmi diperbaiki dalam OpenSSH 10.6p2.
Akar persoalan ini bermula dari tambalan yang dirilis pada tahun 2016 untuk menangani kerentanan enumerasi nama pengguna dengan kode CVE-2016-6210. Di bawah kondisi tertentu, mekanisme penanganan kata sandi pada OpenSSH secara keliru menafsirkan kegagalan operasi hash kata sandi sebagai autentikasi yang sukses dengan memunculkan nilai yang sama ("*") seperti penanda akun dengan sandi dinonaktifkan di tingkat sistem.
Peretas dapat memicu celah ini untuk masuk ke akun non-aktif kata sandi tertentu memakai sandi sembarang berukuran antara 257 hingga 1.024 bita, yang menyebabkan proses hash gagal lalu menghasilkan karakter tanda bintang. Daemon sshd kemudian mencocokkannya dengan tanda bintang yang tersimpan di kolom sandi akun tersebut, sehingga proses masuk pun berhasil.
Perlu dipertegas bahwa eksploitasi yang berhasil mensyaratkan keberadaan setidaknya satu akun dengan hash tanda bintang (*). Celah ini sama sekali tidak mengizinkan peretas menerobos kata sandi pada akun yang memiliki hash sandi sah.
"Serangan SSHole yang berhasil memberikan akses sesuai izin yang dimiliki akun terdampak," ungkap Safe Security. "Bagi perusahaan, dampak dari SSHole sangat bergantung pada tingkat hak istimewa akun yang berhasil disusupi tersebut."
"Meskipun akses SSH tanpa izin merupakan dampak langsungnya, peretas juga berpotensi memperoleh kredensial penyebaran, rahasia aplikasi, serta infrastruktur terhubung, yang membuka peluang bagi pergerakan lateral atau gangguan layanan."
Penting dicatat bahwa kerentanan ini tidak memengaruhi Dropbear, distribusi Linux berbasis glibc, sistem non-Linux, serta sistem yang memverifikasi kata sandi melalui PAM.
Firma intelijen ancaman Previdian menyatakan telah mendeteksi upaya eksploitasi perdana kurang dari sembilan jam pasca publikasi CVE, seraya menambahkan bahwa mereka mengonfirmasi perolehan akses root pada honeypot yang menjalankan Alpine Linux serta OpenSSH. Data telemetri menunjukkan total delapan kali percobaan peretasan yang terlacak berasal dari alamat IP berlokasi di Jepang.
"Alamat IP sumber yang terpantau, 89.116.89[.]18, memanfaatkan kata sandi berukuran besar untuk melewati autentikasi dan mengeksekusi perintah pengintaian seperti id, uname, serta hostname melalui sesi SSH non-interaktif," jelas Ryan Dewhurst, pendiri dan CEO Previdian, dalam pernyataan yang dibagikan kepada The Hacker News.
Para pengguna terdampak sangat diimbau memperbarui sistem ke OpenSSH 10.6p2 atau paket tambalan dari distro masing-masing, kemudian memuat ulang sshd. Alpine juga merekomendasikan pengguna memeriksa catatan log "Accepted password for" yang melibatkan akun yang semestinya menolak autentikasi kata sandi.
"Periksalah /var/log/messages untuk baris sshd yang memuat Accepted password for pada akun yang tidak memiliki kata sandi (alpine, root, atau pengguna khusus kunci apa pun)," imbau pihak Alpine. "Tinjau kembali penggunaan doas serta pengguna baru, berkas, dan kunci terotorisasi pada mesin publik. Jika Anda tidak bisa menepis adanya akses ilegal, anggaplah sistem tersebut telah disusupi."
