Araştırmacıların bildirdiğine göre saldırganlar, birçok Linux sisteminde ayrıcalıklı hesaplara giriş yapmalarını sağlayan yakın zamanda keşfedilen kritik bir açığı aktif olarak istismar ediyor.
*sshole adıyla takip edilen açık, OpenSSH ile musl adlı kod kütüphanesi arasındaki etkileşimden kaynaklanıyor. Her iki paketi kullanan ve belirli diğer şartları sağlayan Linux sistemleri, kimlik doğrulaması olmadan yüksek ayrıcalıklı hesaplara saniyeler içinde erişim sağlayacak şekilde hacklenebiliyor. *sshole geçen perşembe kamuya duyuruldu ve Linux makinelerinin yaygın şekilde ele geçirilmesine yol açabileceği endişesi yarattı. Dört gün sonra bu öngörü gerçek olma belirtileri gösteriyor.
Saldırganlar “olgun sızmalar” gerçekleştiriyor
Güvenlik firması Greynoise, pazartesi günü Güneydoğu Asya’da sürdürdüğü honeypot’ların GT10 olarak takip ettiği bir grup tarafından saldırıya uğradığını söyledi. Grup, Greynoise’in gerçek zamanlı olarak saldırı girişimlerini veya başarılı saldırıları tespit etmek için kullandığı sistemlere “olgun sızmalar” gerçekleştirdi. Greynoise daha sonra GT10’a ait bir sunucuya erişim sağladı ve bu sunucu potansiyel diğer kurbanları ve kampanyada kullanılan bazı araçları ortaya çıkardı. Grubun saldırılarda kullandığı arka kapı, Çince dilinde yorumlar içeriyor ve yapay zekâ kullanılarak oluşturulmuş görünüyor.
Greynoise, GT10’un saldırganın TAC Agent olarak takip edilen arka kapısını çalıştırmak için gereken paket olduğu için üzerinde zaten bulunmayan makinelerde Python3 sürümünü de kurduğunu belirtti. TAC Agent, kabuk komutları, sistem keşfi ve kalıcılık dahil geniş bir işlev yelpazesini destekliyor. OpenSSH, saldırıların çalışmasını engelleyen bir düzeltme yayınladı.
Güvenlik firması watchTowr’daki araştırmacılar cuma günü de botnet’ler ve kripto para ile ilgili istismar faaliyetleri gördüklerini söyledi. Güvenlik firması Previdian da benzer faaliyet bildirdi. Şirketinin sensörlerinin dokuz ülkeye konumlandırılmış 13 farklı saldırgan IP adresinden 20 istismar girişimi gördüğünü kaydetti.
Açık, CVE-2026-123158 olarak takip ediliyor ve OpenSSH’in musl adlı Linux için yaygın kullanılan libc kod kütüphanesine alternatif bir kütüphane ile birlikte çalıştırılması durumunda bulunuyor. Ayrıca OpenSSH, kullanıcı kimlik doğrulamasını ve hesap erişim kontrollerini yöneten bir çerçeve olan PAM kullanmamalı. Ayrıca SSH yapılandırmalarının 1) SHA256 veya SHA512 işlevi kullanılarak hash’lenmiş bir parola ile erişilebilen en az bir hesaba sahip olması ve 2) /etc/shadow dosyasındaki parola alanına “*” belirtilerek parolasız hesapların kullanılmasına da ayarlanmış olması gerekiyor. Parolasız yapılandırmalar belirli hesap türleri için standarttır.
İstismarlar, saldırgan bir parolasız hesap için 256 karakterden uzun parolalar girdiğinde tetikleniyor. Bu adım, OpenSSH sunucusunun sağlanan parolayı hash’leyip /etc/shadow’da saklanan hash ile karşılaştırması sırasında gerçekleşiyor. Aşırı büyük parola bir hata üretiyor ve musl’un parola hashleme işlevinin “*” döndürmesine neden oluyor. Saldırılar, “bir dizenin parola hash’i olarak mı yoksa başka bir şey olarak mı kastedildiğinin yanlış yorumlanmasını” istismar ediyor, Red Hat belirtti.
Birden fazla şart gerekli olmasına rağmen CVE-2026-123158, özellikle hafif Linux dağıtımı Alpine’i çalıştıran makineler olmak üzere geniş bir makine tabanı için ciddi tehdit oluşturuyor. İstismarın kolaylığı, saldırganların İnternet’e açık milyonlarca SSH sunucusuna kötü niyetli komutlar yönlendirmesine ve potansiyel olarak savunmasız olanları saniyeler içinde belirlemesine olanak tanıyor. OpenSSH kullanan herkes güncellemeyi derhal yüklemeli. musl kullananlar daha fazla araştırmalı.
