--- title: "Linux cihazlarına SSH ile yetkisiz giriş sağlayan kritik açık aktif olarak istismar ediliyor" url: "https://teknotayf.com/haber/linux-cihazlarina-ssh-ile-yetkisiz-giris-saglayan-kritik-acik-aktif-olarak-istismar-ediliyor" markdown_url: "https://teknotayf.com/haber/linux-cihazlarina-ssh-ile-yetkisiz-giris-saglayan-kritik-acik-aktif-olarak-istismar-ediliyor.md" site: "teknotayf.com" language: "tr" published: "2026-11-09 22:41:34" updated: "2026-11-09 20:11:40" category: "Siber Güvenlik" tags: ["Açık Kaynak","Siber Güvenlik","Linux Açığı","SSH İstismarı"] source: "Ars Technica" --- # Linux cihazlarına SSH ile yetkisiz giriş sağlayan kritik açık aktif olarak istismar ediliyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/linux-cihazlarina-ssh-ile-yetkisiz-giris-saglayan-kritik-acik-aktif-olarak-istismar-ediliyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Araştırmacılar, OpenSSH ve musl kütüphanesi etkileşiminden kaynaklanan *sshole açığının aktif olarak istismar edildiğini bildiriyor. Saldırgan gruplar olgun sızmalar gerçekleştiriyor, arka kapı TAC Agent dağıtılıyor ve birden fazla güvenlik firması istismar girişimleri tespit etti. Açık, özellikle Alpine tabanlı sistemler için ciddi risk oluşturuyor. - **Yayın tarihi:** 2026-11-09 22:41 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Açık Kaynak, Siber Güvenlik, Linux Açığı, SSH İstismarı - **Yazan:** TeknoTayf.com - **Kaynak:** [Ars Technica](https://arstechnica.com/security/2026/11/vulnerability-that-lets-hackers-ssh-into-linux-devices-is-under-active-exploitation/) ![Linux cihazlarına SSH ile yetkisiz giriş sağlayan kritik açık aktif olarak istismar ediliyor](https://teknotayf.com/assets/uploads/2026/11/2f2d99c62013ce4835a16f5f4ebfcd75.jpg) Araştırmacıların bildirdiğine göre saldırganlar, birçok Linux sisteminde ayrıcalıklı hesaplara giriş yapmalarını sağlayan yakın zamanda keşfedilen kritik bir açığı aktif olarak istismar ediyor. ***sshole** adıyla takip edilen açık, OpenSSH ile musl adlı kod kütüphanesi arasındaki etkileşimden kaynaklanıyor. Her iki paketi kullanan ve belirli diğer şartları sağlayan Linux sistemleri, kimlik doğrulaması olmadan yüksek ayrıcalıklı hesaplara saniyeler içinde erişim sağlayacak şekilde hacklenebiliyor. *sshole geçen perşembe kamuya duyuruldu ve Linux makinelerinin yaygın şekilde ele geçirilmesine yol açabileceği endişesi yarattı. Dört gün sonra bu öngörü gerçek olma belirtileri gösteriyor. ## Saldırganlar “olgun sızmalar” gerçekleştiriyor Güvenlik firması Greynoise, pazartesi günü Güneydoğu Asya’da sürdürdüğü honeypot’ların GT10 olarak takip ettiği bir grup tarafından saldırıya uğradığını söyledi. Grup, Greynoise’in gerçek zamanlı olarak saldırı girişimlerini veya başarılı saldırıları tespit etmek için kullandığı sistemlere “olgun sızmalar” gerçekleştirdi. Greynoise daha sonra GT10’a ait bir sunucuya erişim sağladı ve bu sunucu potansiyel diğer kurbanları ve kampanyada kullanılan bazı araçları ortaya çıkardı. Grubun saldırılarda kullandığı arka kapı, Çince dilinde yorumlar içeriyor ve yapay zekâ kullanılarak oluşturulmuş görünüyor. Greynoise, GT10’un saldırganın TAC Agent olarak takip edilen arka kapısını çalıştırmak için gereken paket olduğu için üzerinde zaten bulunmayan makinelerde Python3 sürümünü de kurduğunu belirtti. TAC Agent, kabuk komutları, sistem keşfi ve kalıcılık dahil geniş bir işlev yelpazesini destekliyor. **OpenSSH**, saldırıların çalışmasını engelleyen bir düzeltme yayınladı. Güvenlik firması watchTowr’daki araştırmacılar cuma günü de botnet’ler ve kripto para ile ilgili istismar faaliyetleri gördüklerini söyledi. Güvenlik firması Previdian da benzer faaliyet bildirdi. Şirketinin sensörlerinin dokuz ülkeye konumlandırılmış 13 farklı saldırgan IP adresinden 20 istismar girişimi gördüğünü kaydetti. Açık, **CVE-2026-123158** olarak takip ediliyor ve OpenSSH’in musl adlı Linux için yaygın kullanılan libc kod kütüphanesine alternatif bir kütüphane ile birlikte çalıştırılması durumunda bulunuyor. Ayrıca OpenSSH, kullanıcı kimlik doğrulamasını ve hesap erişim kontrollerini yöneten bir çerçeve olan PAM kullanmamalı. Ayrıca SSH yapılandırmalarının 1) SHA256 veya SHA512 işlevi kullanılarak hash’lenmiş bir parola ile erişilebilen en az bir hesaba sahip olması ve 2) /etc/shadow dosyasındaki parola alanına “*” belirtilerek parolasız hesapların kullanılmasına da ayarlanmış olması gerekiyor. Parolasız yapılandırmalar belirli hesap türleri için standarttır. İstismarlar, saldırgan bir parolasız hesap için 256 karakterden uzun parolalar girdiğinde tetikleniyor. Bu adım, OpenSSH sunucusunun sağlanan parolayı hash’leyip /etc/shadow’da saklanan hash ile karşılaştırması sırasında gerçekleşiyor. Aşırı büyük parola bir hata üretiyor ve musl’un parola hashleme işlevinin “*” döndürmesine neden oluyor. Saldırılar, “bir dizenin parola hash’i olarak mı yoksa başka bir şey olarak mı kastedildiğinin yanlış yorumlanmasını” istismar ediyor, Red Hat belirtti. Birden fazla şart gerekli olmasına rağmen CVE-2026-123158, özellikle hafif Linux dağıtımı **Alpine**’i çalıştıran makineler olmak üzere geniş bir makine tabanı için ciddi tehdit oluşturuyor. İstismarın kolaylığı, saldırganların İnternet’e açık milyonlarca SSH sunucusuna kötü niyetli komutlar yönlendirmesine ve potansiyel olarak savunmasız olanları saniyeler içinde belirlemesine olanak tanıyor. OpenSSH kullanan herkes güncellemeyi derhal yüklemeli. musl kullananlar daha fazla araştırmalı. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/linux-cihazlarina-ssh-ile-yetkisiz-giris-saglayan-kritik-acik-aktif-olarak-istismar-ediliyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.