Falha *sshole no OpenSSH com musl já é explorada e dá acesso privilegiado a sistemas Linux

Uma vulnerabilidade crítica que permite entrar em contas privilegiadas de sistemas Linux está sendo explorada por atacantes, segundo vários pesquisadores de segurança. A falha, batizada de *sshole e catalogada como CVE-2026-123158, veio a público na quinta-feira passada. Quatro dias depois, já havia sinais de ataques em andamento.

O problema surge da interação entre o OpenSSH e a musl, uma biblioteca de código usada em Linux como alternativa à libc, mais difundida. Nas condições certas, o invasor consegue acesso sem autenticação a contas de alto privilégio em questão de segundos.

Para a falha funcionar, o OpenSSH precisa rodar com a musl e sem o PAM, o framework que cuida da autenticação e das verificações de acesso. A configuração também precisa ter ao menos uma conta com senha protegida por hash SHA256 ou SHA512 e ao menos uma conta sem senha, marcada com "*" no campo de senha do arquivo /etc/shadow. Segundo a reportagem, esse tipo de conta sem senha é padrão em certos casos.

O ataque consiste em enviar, para uma conta sem senha, uma senha com mais de 256 caracteres. Quando o servidor tenta calcular o hash e compará-lo com o armazenado, o tamanho excessivo gera um erro, e a função de hash da musl devolve "*". A Red Hat descreveu o problema como uma "interpretação equivocada" sobre se uma sequência de caracteres é ou não um hash de senha.

A Greynoise disse na segunda-feira que honeypots (sistemas-isca) mantidos por ela no Sudeste Asiático foram atacados por um grupo que ela chama de GT10, que fez "intrusões maduras". A empresa acessou depois um servidor do grupo, que indicou outras possíveis vítimas e ferramentas da campanha. O backdoor, chamado TAC Agent, tem comentários em chinês e parece ter sido gerado com ajuda de IA. Ele executa comandos de shell, faz reconhecimento do sistema e garante persistência. O grupo também instala o Python3 em máquinas que não o têm, pois o backdoor depende dele.

A watchTowr relatou na sexta-feira atividade de exploração ligada a botnets e criptomoedas. A Previdian diz que seus sensores registraram 20 tentativas de 13 endereços IP de atacantes, localizados em nove países.

Apesar das várias condições exigidas, a falha ameaça muitas máquinas, principalmente as que usam o Alpine, distribuição Linux leve. Como é fácil explorá-la, os atacantes podem testar milhões de servidores SSH expostos na internet e achar os vulneráveis em segundos. A recomendação é que quem usa OpenSSH instale a atualização logo, e quem usa musl investigue melhor se está exposto.