Sejumlah pelaku ancaman siber dilaporkan langsung mencoba mengeksploitasi celah keamanan OpenSSH yang baru saja diungkap ke publik, yang memungkinkan akses masuk ke akun tanpa kata sandi, menurut laporan Previdian.
Kerentanan yang terdaftar dengan kode CVE-2026-123158 (skor CVSS: 8.1) dan dijuluki SSHole (atau *sshole) ini berdampak pada sistem Linux yang menjalankan OpenSSH bersama pustaka musl C dengan modul Pluggable Authentication Modules (PAM) dalam kondisi nonaktif, termasuk konfigurasi bawaan server OpenSSH pada Alpine Linux.
Pelaku kejahatan siber tanpa autentikasi dapat memasukkan kata sandi berukuran terlalu besar guna menjebol akun-akun yang sengaja diatur tanpa kredensial aktif, tanpa perlu mencuri sandi maupun kunci SSH korban. Kerentanan ini ditemukan oleh periset keamanan Ozgun Kultekin dan telah diperbaiki pada pembaruan OpenSSH 10.6p2.
Masalah mendasar ini berakar dari patch tahun 2016 yang awalnya dibuat untuk menutup celah enumerasi nama pengguna dengan kode CVE-2016-6210. Pada kondisi tertentu, mekanisme pemrosesan sandi pada OpenSSH keliru mengartikan kegagalan kalkulasi hashing sandi sebagai keberhasilan autentikasi, yakni menghasilkan simbol tanda bintang ("*") yang secara default dipakai untuk menandai akun nonaktif pada tingkat sistem.
Penyerang dapat memanfaatkan kelemahan ini untuk masuk ke akun yang sandinya dinonaktifkan menggunakan kata sandi sembarang berukuran antara 257 hingga 1.024 bita. Hal ini memicu kegagalan proses hash sehingga mengembalikan tanda bintang. Daemon sshd kemudian mencocokkan hasil tersebut dengan tanda bintang di basis data kredensial, yang berujung pada diterimanya proses login.
Perlu digarisbawahi bahwa keberhasilan eksploitasi ini memerlukan setidaknya satu akun yang memiliki tanda bintang (*) pada hash kata sandinya. Kerentanan ini sama sekali tidak mengizinkan peretas membobol akun yang telah mempunyai hash kata sandi yang sah.
"Keberhasilan serangan SSHole memberikan hak akses sesuai tingkat izin yang dimiliki oleh akun yang dibobol tersebut," ungkap Safe Security. "Bagi kalangan korporasi, dampak nyata dari SSHole sangat bergantung pada tingkat wewenang akun yang berhasil disusupi."
"Meski akses SSH tanpa izin menjadi akibat langsung, penyerang juga dapat menyusup ke kredensial penerapan, data rahasia aplikasi, dan infrastruktur yang terhubung, sehingga berpotensi membuka ruang bagi pergerakan lateral maupun gangguan layanan secara luas."
Penting dicatat bahwa celah ini sama sekali tidak berdampak pada sistem Dropbear, distro Linux berbasis glibc, sistem non-Linux, serta sistem yang melakukan verifikasi sandi menggunakan PAM.
Perusahaan intelijen ancaman Previdian menyatakan telah mengamati percobaan eksploitasi perdana kurang dari sembilan jam pasca publikasi CVE. Mereka juga mengonfirmasi adanya keberhasilan akses root pada honeypot yang menggunakan Alpine Linux dan OpenSSH. Data telemetri memperlihatkan total delapan upaya serangan yang terdeteksi berasal dari alamat IP di Jepang.
"Alamat IP sumber yang terpantau, 89.116.89[.]18, menggunakan kata sandi berukuran besar untuk menembus autentikasi serta menjalankan berbagai perintah pengintaian seperti id, uname, dan hostname melalui sesi SSH non-interaktif," jelas Ryan Dewhurst, pendiri dan CEO Previdian, dalam pernyataan kepada The Hacker News.
Para pengguna terdampak diimbau segera memperbarui ke OpenSSH 10.6p2 atau paket patch resmi distribusi Linux masing-masing, lalu memulai ulang daemon sshd. Pihak Alpine turut menyarankan pengguna memeriksa catatan log bertuliskan "Accepted password for" pada akun-akun yang semestinya tidak menerima autentikasi berbasis sandi.
"Periksa berkas /var/log/messages untuk menemukan baris sshd bertuliskan Accepted password for akun tanpa kata sandi (seperti alpine, root, atau akun berbasis kunci saja)," imbau Alpine. "Teliti penggunaan perintah doas serta kemunculan akun pengguna, berkas, dan authorized keys baru pada mesin yang terhubung ke publik. Jika keabsahan sesi login tidak dapat dipastikan, anggap mesin tersebut telah berhasil disusupi."
