ハッカーがLinuxの深刻なSSH脆弱性を悪用中――わずか数秒でRoot権限の取得が可能に

セキュリティ研究者らは、Linuxシステムにおける新たに開示された深刻な脆弱性が現在進行形で悪用されていると警告している。この脆弱性が悪用されると、未認証の攻撃者がわずか数秒で高権限アカウントにログインできる状態になる。

「CVE-2026-123158」（通称「*sshole」）と呼ばれるこの欠陥は、広く使われているOpenSSHスイートと、libcの代替となる軽量コードライブラリ「musl」との間の危険な相互作用に起因する。先週初めて公表されたこの脆弱性は、現在世界中の複数の脅威グループから標的にされている。

アクティブな悪用とAI生成バックドア

セキュリティ企業のGreynoiseは、東南アジア全域で運用しているハニーポットが「GT10」として追跡されている脅威グループからの攻撃を受けたと報告した。研究者らはリアルタイム監視システムへの「成熟した侵入（mature intrusions）」を観測し、その後GT10のサーバーにアクセスして攻撃ツールや潜在的な被害者のデータを特定した。

これらの侵入において、GT10は「TAC Agent」という名称で追跡されているカスタムバックドアを配備した。Greynoiseによると、このバックドアのコードには中国語のコメントが含まれており、AIの支援を受けて生成されたとみられる。ペイロードはシェル実行、システム偵察、持続性の確保をサポートする。実行を確実なものにするため、攻撃者は侵害したマシンにPython3パッケージがまだ存在しない場合、手動でインストールを行っている。

ほかのセキュリティ機関も、並行して行われている攻撃の波を確認している。

• watchTowr： ボットネットおよび暗号資産マイニング運用に関連する悪用アクティビティを観測。

• Previdian： 9カ国の13個の固有IPアドレスから送信された、20件の異なる悪用試行を検出したと報告。

CVE-2026-123158の仕組み

この脆弱性が悪用可能になるには、特定のシステム要件が揃う必要がある。

1. ターゲットシステムが、デフォルトの libc ではなく、musl標準CライブラリとともにコンパイルされたOpenSSHを実行していること。

1. OpenSSHがPAM（Pluggable Authentication Modules）を有効にせずに動作していること。

1. SSHシステムにSHA256またはSHA512パスワードハッシュを使用するアカウントが少なくとも1つ含まれており、同時に /etc/shadow ファイルのパスワードフィールドにアスタリスク（*）を配置してパスワードなしアカウントが設定されていること。

悪用は、攻撃者が256文字を超える異常に長いパスワード文字列を送信して、パスワードなしアカウントにログインしようとしたときに発生する。OpenSSHがこの過大な入力を処理すると、muslのパスワードハッシュ関数がエラーを起こして * を返す。パスワードなしアカウント用に保存されたshadowファイルの項目も * であるため、システムは一致したと誤判定してしまう。Red Hatが指摘したように、この欠陥は「文字列がパスワードハッシュであることを意図しているかどうかの誤解」を中心に起こっている。

影響を受けるディストリビューションと対策

このバグは、muslに大きく依存しているAlpine Linuxをはじめとする軽量Linuxディストリビューションに重大なリスクをもたらす。インターネットに露出している数百万台のSSHサーバーが、攻撃者によってわずか数秒でスキャンされ特定される可能性がある。

OpenSSHはこの欠陥を軽減する公式アップデートをリリースした。muslベースのLinux環境でOpenSSHを実行している管理者は、直ちにパッチを適用し、システム設定を見直すことが強く推奨される。