Hackers exploram ativamente vulnerabilidade crítica no SSH do Linux para obter acesso root em segundos

Pesquisadores de segurança estão alertando sobre a exploração ativa de uma vulnerabilidade crítica recém-divulgada em sistemas Linux, a qual permite que atacantes não autenticados façam login em contas de alto privilégio em poucos segundos.

A falha, rastreada como CVE-2026-123158 e apelidada de "*sshole", resulta de uma interação perigosa entre a amplamente utilizada suíte OpenSSH e a musl, uma biblioteca de código alternativa e leve para a libc. Tornada pública na semana passada, a vulnerabilidade agora é alvo de múltiplos grupos de ameaças globalmente.

Exploração ativa e backdoors gerados por IA

A empresa de segurança Greynoise relatou que honeypots mantidos por ela no Sudeste Asiático foram atacados por um grupo de ameaça rastreado como GT10. Pesquisadores observaram "intrusões maduras" em seus sistemas de monitoramento em tempo real e, posteriormente, obtiveram acesso a um servidor do GT10, expondo ferramentas de ataque e possíveis dados de vítimas.

Durante essas intrusões, o GT10 implantou um backdoor personalizado rastreado sob o nome "TAC Agent". Segundo a Greynoise, o código do backdoor contém comentários em idioma chinês e parece ter sido gerado com a ajuda de IA. O payload suporta execução de shell, reconhecimento do sistema e persistência. Para garantir a execução, os atacantes estão instalando manualmente o Python3 nas máquinas comprometidas caso o pacote ainda não esteja presente.

Outras organizações de segurança confirmaram ondas de ataque paralelas:

• watchTowr: Observou atividade de exploração vinculada a botnets e operações de mineração de criptomoedas.

• Previdian: Relatou ter detectado 20 tentativas distintas de exploração originadas de 13 endereços IP únicos em nove países.

Como funciona a CVE-2026-123158

A vulnerabilidade requer um conjunto específico de condições no sistema para ser explorável:

1. O sistema alvo deve executar o OpenSSH compilado junto com a biblioteca C padrão musl em vez da libc padrão.

1. O OpenSSH deve operar sem o Pluggable Authentication Modules (PAM) ativado.

1. O sistema SSH deve conter pelo menos uma conta usando hash de senha SHA256 ou SHA512 e, ao mesmo tempo, configurar contas sem senha inserindo um asterisco (*) no campo de senha do arquivo /etc/shadow.

A exploração ocorre quando um atacante tenta fazer login em uma conta sem senha enviando uma string de senha anormalmente longa, excedendo 256 caracteres. Quando o OpenSSH processa essa entrada sobredimensionada, a função de hash de senha da musl encontra um erro e retorna *. Como a entrada armazenada no arquivo shadow para contas sem senha também é *, o sistema valida incorretamente a correspondência. Como a Red Hat observou, a falha gira em torno de uma "interpretação equivocada sobre se uma string tem a intenção de ser um hash de senha".

Distribuições afetadas e mitigações

O bug representa um risco substancial para distribuições Linux leves, destacando-se o Alpine Linux, que depende fortemente da musl. Milhões de servidores SSH expostos à internet podem ser varridos e identificados por atores maliciosos em questão de segundos.

O OpenSSH lançou uma atualização oficial que mitiga a falha. Administradores que executam o OpenSSH em ambientes Linux baseados em musl são fortemente incentivados a aplicar as correções imediatamente e revisar as configurações de seus sistemas.