Tin tặc đang tích cực khai thác lỗ hổng SSH nghiêm trọng trên Linux để chiếm quyền root chỉ trong vài giây

Các nhà nghiên cứu an ninh mạng đang phát đi cảnh báo về làn sóng khai thác thực tế nhằm vào một lỗ hổng đặc biệt nghiêm trọng vừa được công bố trên các hệ thống Linux. Lỗ hổng này cho phép kẻ tấn công chưa qua xác thực có thể đăng nhập vào các tài khoản có đặc quyền cao (high-privilege) chỉ trong vài giây.

Lỗ hổng mang mã hiệu CVE-2026-123158 (được đặt biệt danh là "*sshole") xuất phát từ sự tương tác nguy hiểm giữa bộ công cụ OpenSSH phổ biến và musl – một thư viện C gọn nhẹ thay thế cho libc. Dù mới được công bố vào tuần trước, lỗ hổng hiện đã trở thành mục tiêu săn đón của nhiều nhóm đe dọa trên phạm vi toàn cầu.

Khai thác thực tế và cửa sau do AI tạo ra

Công ty an ninh mạng Greynoise cho biết các bẫy phần mềm (honeypot) của họ tại khu vực Đông Nam Á đã bị tấn công bởi một nhóm đe dọa có tên GT10. Các nhà nghiên cứu đã ghi nhận những "vụ xâm nhập tinh vi" vào hệ thống giám sát theo thời gian thực, đồng thời truy cập thành công vào một máy chủ của GT10, từ đó làm lộ diện hàng loạt công cụ tấn công và dữ liệu của các nạn nhân tiềm năng.

Trong các đợt xâm nhập này, GT10 đã triển khai một backdoor tùy chỉnh với tên gọi "TAC Agent". Theo Greynoise, mã nguồn của cửa sau này chứa các dòng chú thích bằng tiếng Trung và nhiều khả năng được viết với sự hỗ trợ của trí tuệ nhân tạo (AI). Mã độc (payload) này hỗ trợ thực thi lệnh shell, thăm dò hệ thống và duy trì sự hiện diện (persistence). Đáng chú ý, để đảm bảo mã độc hoạt động, kẻ tấn công còn tự tay cài đặt gói Python3 vào các máy chủ bị chiếm đoạt nếu môi trường này chưa có sẵn.

Các tổ chức an toàn thông tin khác cũng xác nhận nhiều đợt tấn công song song:

• watchTowr: Ghi nhận các hoạt động khai thác liên quan đến mạng máy tính ma (botnet) và các chiến dịch đào tiền mã hóa.

• Previdian: Phát hiện 20 nỗ lực khai thác riêng biệt xuất phát từ 13 địa chỉ IP duy nhất tại 9 quốc gia.

Cơ chế hoạt động của CVE-2026-123158

Lỗ hổng này đòi hỏi một tập hợp các điều kiện hệ thống cụ thể mới có thể bị khai thác:

1. Hệ thống mục tiêu phải chạy phiên bản OpenSSH được biên dịch cùng thư viện C chuẩn musl thay vì thư viện libc mặc định.

1. OpenSSH phải hoạt động trong điều kiện không bật mô-đun xác thực PAM (Pluggable Authentication Modules).

1. Hệ thống SSH có ít nhất một tài khoản sử dụng thuật toán băm mật khẩu SHA256 hoặc SHA512, đồng thời cấu hình các tài khoản không có mật khẩu bằng cách đặt dấu sao (*) vào trường mật khẩu trong tệp /etc/shadow.

Quá trình khai thác diễn ra khi kẻ tấn công cố gắng đăng nhập vào một tài khoản không dùng mật khẩu bằng cách gửi một chuỗi mật khẩu dài bất thường, vượt quá 256 ký tự. Khi OpenSSH xử lý đầu vào quá khổ này, hàm băm mật khẩu của musl gặp lỗi và trả về giá trị *. Do giá trị lưu trữ trong tệp shadow đối với các tài khoản không mật khẩu cũng là *, hệ thống đã xác thực sai rằng chuỗi mật khẩu trùng khớp. Đúng như Red Hat nhận định, bản chất của lỗ hổng nằm ở sự "hiểu sai về việc liệu một chuỗi ký tự có phải là bản băm mật khẩu hay không".

Các bản phân phối bị ảnh hưởng và biện pháp khắc phục

Lỗ hổng này gây ra rủi ro đặc biệt lớn cho các bản phân phối Linux siêu nhẹ, tiêu biểu là Alpine Linux – hệ điều hành phụ thuộc rất nhiều vào thư viện musl. Hàng triệu máy chủ SSH công khai trên Internet có thể bị kẻ xấu quét và phát hiện chỉ trong chớp mắt.

Hiện tại, dự án OpenSSH đã phát hành bản cập nhật chính thức nhằm khắc phục lỗ hổng an ninh này. Các quản trị viên hệ thống đang vận hành OpenSSH trên môi trường Linux dựa trên musl được khuyến cáo khẩn cấp áp dụng bản vá ngay lập tức, đồng thời rà soát lại toàn bộ cấu hình hệ thống.