Hackers explotan de forma activa una vulnerabilidad crítica de SSH en Linux para obtener acceso root en segundos

Investigadores de seguridad advierten sobre la explotación activa de una vulnerabilidad crítica recientemente revelada en sistemas Linux, la cual permite a atacantes no autenticados iniciar sesión en cuentas con privilegios elevados en cuestión de segundos.

La falla, registrada como CVE-2026-123158 y apodada "*sshole", proviene de una interacción peligrosa entre la ampliamente utilizada suite OpenSSH y musl, una biblioteca de código ligera alternativa a libc. Tras hacerse pública la semana pasada, la vulnerabilidad ahora está siendo atacada por múltiples grupos de amenazas a nivel global.

Explotación activa y puertas traseras generadas por IA

La empresa de seguridad Greynoise informó que los honeypots que mantiene en el sudeste asiático sufrieron ataques por parte de un grupo de amenazas rastreado como GT10. Los investigadores observaron "intrusiones maduras" en sus sistemas de monitoreo en tiempo real y, posteriormente, accedieron a un servidor de GT10, lo que dejó al descubierto herramientas de ataque y posibles datos de víctimas.

Durante estas intrusiones, GT10 desplegó una puerta trasera (backdoor) personalizada rastreada bajo el nombre "TAC Agent". Según Greynoise, el código de la puerta trasera contiene comentarios en idioma chino y parece haber sido generado con la ayuda de IA. La carga útil (payload) permite la ejecución de shell, reconocimiento del sistema y persistencia. Para garantizar la ejecución, los atacantes están instalando manualmente Python3 en los equipos comprometidos si el paquete aún no está presente.

Otras organizaciones de seguridad han confirmado olas de ataques paralelas:

• watchTowr: Observó actividad de explotación vinculada a botnets y operaciones de minería de criptomonedas.

• Previdian: Reportó haber detectado 20 intentos de explotación distintos originados en 13 direcciones IP únicas en nueve países.

Cómo funciona la vulnerabilidad CVE-2026-123158

La vulnerabilidad requiere un conjunto específico de condiciones en el sistema para ser explotable:

1. El sistema objetivo debe ejecutar OpenSSH compilado junto con la biblioteca estándar de C musl en lugar de la libc predeterminada.

1. OpenSSH debe operar sin tener habilitados los Pluggable Authentication Modules (PAM).

1. El sistema SSH debe contener al menos una cuenta que utilice hash de contraseña SHA256 o SHA512, al tiempo que configura cuentas sin contraseña colocando un asterisco (*) en el campo de contraseña del archivo /etc/shadow.

La explotación ocurre cuando un atacante intenta iniciar sesión en una cuenta sin contraseña enviando una cadena de contraseña anormalmente larga que supera los 256 caracteres. Cuando OpenSSH procesa esta entrada de tamaño excesivo, la función de hash de contraseñas de musl detecta un error y devuelve *. Dado que la entrada almacenada en el archivo shadow para cuentas sin contraseña también es *, el sistema valida incorrectamente la coincidencia. Como señaló Red Hat, la falla se centra en una "mala interpretación de si una cadena está destinada a ser un hash de contraseña".

Distribuciones afectadas y mitigaciones

El error representa un riesgo sustancial para las distribuciones ligeras de Linux, en particular Alpine Linux, que depende en gran medida de musl. Millones de servidores SSH expuestos a Internet pueden ser escaneados e identificados por actores maliciosos en cuestión de segundos.

OpenSSH ha lanzado una actualización oficial que mitiga la falla. Se insta encarecidamente a los administradores que ejecuten OpenSSH en entornos Linux basados en musl a aplicar los parches de inmediato y revisar las configuraciones de sus sistemas.