駭客積極利用 Linux SSH 重大漏洞，數秒內即可奪取 Root 權限

資安研究人員發出警告，指出網路上的駭客正在積極利用一項新公開的 Linux 系統重大漏洞。該漏洞允許未經身分驗證的攻擊者在數秒之內登入高權限帳號。

這項漏洞的追蹤編號為 CVE-2026-123158，綽號為「*sshole」，其根源來自於廣泛使用的 OpenSSH 套件與 musl（一種替代 libc 的輕量級 C 標準函式庫）之間危險的交互作用。該漏洞於上週首度公開，目前已成為全球多個威脅組織的攻擊目標。

遭積極利用與 AI 生成的後門程式

資安公司 Greynoise 報告指出，其部署在東南亞各地的蜜罐系統（honeypots）遭到追蹤編號為 GT10 的威脅組織攻擊。研究人員在其即時監控系統中觀察到「成熟的入侵行為」，隨後反向取得一個 GT10 伺服器的存取權限，進而掌握了攻擊工具及潛在受害者的資料。

在這些入侵行動中，GT10 部署了一款名為「TAC Agent」的客製化後門程式。根據 Greynoise 的說法，該後門程式的程式碼包含中文註解，且似乎是在人工智慧（AI）的協助下產生的。該惡意載荷支援 Shell 命令執行、系統偵察與持久化控制（persistence）。為確保能順利執行，若受害機器尚未安裝 Python3，攻擊者還會手動安裝該軟體套件。

其他資安機構也證實了平行發生的攻擊浪潮：

• watchTowr： 觀察到與殭屍網路（botnet）及加密貨幣挖礦活動相關的漏洞利用行為。

• Previdian： 報告稱偵測到來自 9 個國家、共 13 個獨立 IP 位址的 20 次不同攻擊嘗試。

CVE-2026-123158 漏洞原理

觸發並利用該漏洞需要滿足特定的系統條件：

1. 目標系統必須運行與 musl 標準 C 函式庫一同編譯的 OpenSSH，而非預設的 libc。

1. OpenSSH 必須在未啟用可插拔認證模組（PAM）的狀況下運作。

1. SSH 系統必須包含至少一個使用 SHA256 或 SHA512 密碼雜湊的帳號，同時在 /etc/shadow 檔案的密碼欄位中填入星號（*）來設定無密碼帳號。

當攻擊者嘗試透過輸入超過 256 個字元的異常長密碼字串登入無密碼帳號時，攻擊便會發生。當 OpenSSH 處理這個過長的輸入時，musl 的密碼雜湊函式會出錯並回傳 *。由於 shadow 檔案中為無密碼帳號儲存的紀錄也是 *，系統便會錯誤地驗證為符合。正如 Red Hat 所指出，該漏洞的核心問題在於「誤判該字串是否旨在作為密碼雜湊值」。

受影響的發行版與修補防禦措施

該漏洞對極度依賴 musl 的輕量級 Linux 發行版構成重大風險，其中最著名的莫過於 Alpine Linux。暴露於網際網路上的數百萬台 SSH 伺服器可能會在數秒內被惡意人士掃描並識別出漏洞。

OpenSSH 已發布官方更新以緩解該漏洞。強烈建議在基於 musl 的 Linux 環境中運行 OpenSSH 的管理者立即套用修補程式，並重新審視其系統設定。