Los atacantes están explotando la vulnerabilidad de elusión de contraseña SSH que afecta a algunos sistemas Alpine Linux, con GreyNoise reportando explotaciones exitosas y otras firmas de seguridad detectando actividad de ataque.
GreyNoise dijo el 6 de noviembre que estaba monitoreando "escaneos, intentos de explotación y explotación exitosa" de la vulnerabilidad, conocida como SSHole y registrada como CVE-2026-123158.
https://x.com/i/status/2118820867493056753
Por separado, Previdian informa 20 intentos de explotación provenientes de 13 direcciones IP distintas a través de cuatro sensores, con actividad fechada del 6 al 8 de noviembre. La empresa advierte que sus observaciones de sensores no establecen si los objetivos eran vulnerables ni si los intentos tuvieron éxito.
watchTowr también informó sobre la explotación el 6 de noviembre, diciendo que la actividad involucraba “botnets y mineros de criptomonedas”.
Los ataques siguen al lanzamiento del 5 de noviembre de OpenSSH 10.6p2, que introdujo un contorno para sistemas Linux que utilizan la biblioteca de código musl con la autenticación PAM deshabilitada. The Defiant cubrió la vulnerabilidad cuando se lanzó la corrección.
El aviso de Alpine indica a los operadores que instalen el paquete de OpenSSH corregido para su rama Alpine y reinicien el servidor SSH, sshd. Actualizar solo el paquete deja el proceso del servidor en ejecución sin cambios. Los operadores que no puedan aplicar el parche deben configurar PasswordAuthentication no y reiniciar el servicio en su lugar.
Las cuentas solo con clave aún pueden estar expuestas
La explotación requiere un servidor SSH accesible con autenticación por contraseña habilitada y PAM, un marco de autenticación, deshabilitado. El paquete estándar openssh-server de Alpine se compila sin PAM. Su alternativa habilitada para PAM no se ve afectada cuando se configura con UsePAM yes.
La máquina también debe tener una cuenta elegible para inicio de sesión cuyo campo de contraseña almacenada sea un asterisco, además de al menos otra cuenta con un hash de contraseña SHA-256 o SHA-512. Esa combinación puede exponer cuentas destinadas al acceso solo con clave: una contraseña excesivamente larga hace que la función de hash de musl devuelva un asterisco como marcador de error, que luego coincide con el campo almacenado de la cuenta.
Para operadores de nodos, validadores e intercambios de criptomonedas que utilizan Alpine, la verificación relevante es el servicio SSH y la configuración de autenticación del host, no simplemente si una aplicación utiliza un contenedor basado en Alpine. Alpine indica que los contenedores que no ejecutan sshd no se ven afectados.
Alpine también advierte que sus imágenes tiny-cloud sin parchear desde la 3.18.11 hasta la 3.24.3 son seguras al arrancar por primera vez, pero se vuelven explotables si se agrega un hash de contraseña SHA-512, por ejemplo, al establecer una contraseña de consola. Un atacante puede ingresar como el usuario alpine y obtener privilegios de root a través de su acceso administrativo sin contraseña.
Antes de deshabilitar la autenticación por contraseña, Alpine recomienda verificar que el inicio de sesión con clave SSH funcione y mantener la sesión actual abierta mientras se prueba un nuevo inicio de sesión.
Para las máquinas expuestas, el aviso recomienda revisar los registros de inicios de sesión con contraseñas aceptadas para cuentas que no tienen contraseña, así como la actividad administrativa y los usuarios, archivos y claves autorizadas recién creados. Si no se puede descartar un inicio de sesión, Alpine recomienda tratar la máquina como comprometida.