Peneliti keamanan melaporkan eksploitasi aktif SSHole, celah autentikasi OpenSSH yang tercatat sebagai CVE-2026-123158. Kerentanan ini memengaruhi konfigurasi tertentu pada sistem Linux berbasis musl, termasuk Alpine Linux. Pengelola OpenSSH merilis perbaikan pada 5 November 2026 melalui Portable OpenSSH 10.6p2. Administrator yang memakai paket dari distribusi Linux perlu memeriksa apakah pembaruan paketnya sudah memuat perbaikan.
GreyNoise mencatat akses tanpa izin
Upaya eksploitasi mulai terlihat pada 5 November, hari yang sama dengan rilis perbaikan. GreyNoise mencatat eksploitasi berhasil pertama dalam pemantauannya pada 7 November pukul 00.46 UTC, sekitar 40 jam setelah patch dirilis. Perusahaan itu mencatat 16 rangkaian eksploitasi berhasil pada jaringan yang dipantaunya. Aktivitas setelah akses awal berasal dari enam alamat IP sumber dan hanya menggambarkan sebagian aktivitas yang terlihat oleh sensornya.
Dalam insiden yang diamati GreyNoise, pelaku mencoba mengumpulkan informasi sistem dan kontainer, mengakses metadata cloud, serta mencari kredensial. Peneliti juga melihat percobaan menambahkan kunci SSH tanpa izin untuk mempertahankan akses. Dalam satu kasus, pelaku memperoleh hak akses root dan memasang program kendali jarak jauh bernama TAC Agent. Menurut GreyNoise, program itu gagal terhubung ke server pengendalinya sehingga tidak menerima tugas lanjutan.
Previdian turut melaporkan keberhasilan eksploitasi melalui sensornya. Telemetrinya mencatat 20 percobaan dari 13 alamat IP sumber di sembilan negara. WatchTower melaporkan aktivitas yang dikaitkan dengan botnet dan penambangan kripto. GreyNoise juga mencatat jutaan pemindaian port SSH dan percobaan membuka sesi SSH secara umum. Angka pemindaian itu mencakup lalu lintas yang belum terkonfirmasi sebagai eksploitasi SSHole.
Perbarui OpenSSH dan periksa jejak akses
SSHole dapat memungkinkan login tanpa izin pada akun tertentu yang semestinya tidak bisa masuk dengan kata sandi. Dampak bergantung pada pustaka sistem dan konfigurasi autentikasi. Jika akun yang diambil alih memiliki hak administratif, pelaku berpotensi memperoleh kendali lebih luas atas sistem.
Administrator sebaiknya segera memasang paket OpenSSH yang sudah diperbaiki. Jika pembaruan belum dapat diterapkan, nonaktifkan autentikasi SSH berbasis kata sandi pada sistem terdampak setelah memastikan akses dengan kunci SSH atau konsol pemulihan tersedia. Periksa log autentikasi untuk login yang tidak semestinya, tinjau kunci SSH yang ditambahkan tanpa izin, serta cari berkas atau layanan startup yang terkait dengan TAC Agent.
Sumber: OpenSSH – OpenSSH 10.6p2 Release Notes
