Исследователи сообщили об эксплуатации CVE-2026-123158 — уязвимости OpenSSH, которая при сочетании нескольких условий может позволить войти в привилегированную учётную запись Linux. Ars Technica рассказала об этом 9 ноября 2026 года. Владельцам серверов на musl, включая Alpine, следует проверить конфигурацию и установить обновление OpenSSH, если оно доступно для их системы.
Что известно об эксплуатации
По данным, которые Ars Technica приводит со ссылкой на Greynoise, watchTowr и Previdian, атаки уже наблюдались в honeypot-системах и сенсорах исследовательских компаний. Greynoise связала атаки на свои honeypots в Юго-Восточной Азии с группой, которую отслеживает под именем GT10. watchTowr также сообщила об активности, связанной с ботнетами и криптовалютой.
Previdian зафиксировала 20 попыток эксплуатации с 13 уникальных IP-адресов, геолокированных в девяти странах. Это число относится только к наблюдениям сенсоров Previdian и не показывает общее количество атак. Независимой проверки редакции нет.
Ars Technica о CVE-2026-123158 и наблюдаемой эксплуатации.
Какие серверы попадают в зону риска
Уязвимость возникает не от одного факта использования Linux или OpenSSH. Нужна совокупность условий: OpenSSH должен работать с библиотекой musl, PAM должен быть отключён, а конфигурация SSH должна допускать парольную аутентификацию с хешированием SHA256 или SHA512 и одновременно содержать беспарольную учётную запись, для которой в поле пароля файла /etc/shadow указана звёздочка «*».
Эксплуатация начинается, когда атакующий передаёт для такой беспарольной учётной записи пароль длиной более 256 символов. По описанию Ars Technica, ошибка в функции хеширования musl возвращает «*», а OpenSSH неверно интерпретирует это значение. Поэтому наличие обычного Linux-сервера само по себе не означает уязвимость: нужно сверить библиотеку, настройки PAM и записи учётных записей.
Что делать администраторам
В первую очередь проверить следует серверы, использующие musl, особенно системы на базе Alpine, а также конфигурации с отключённым PAM и указанными настройками учётных записей. Ars Technica сообщает, что OpenSSH выпустила исправление, предотвращающее описанные атаки. Подтверждённый способ защиты — установить это обновление из поддерживаемого репозитория или другого официального канала поставки системы.
Публикация описывает активность отдельных исследовательских сенсоров и не утверждает, что CVE-2026-123158 затрагивает все Linux-системы. Если условия не совпадают, приведённые наблюдения не доказывают уязвимость конкретного сервера; если совпадают, обновление следует применить в соответствии с процедурами администратора.
