Ang mga attacker ay nagpapakita ng pagpapahalaga sa pagbypass ng password ng SSH na nakakaapekto sa ilang mga sistema ng Alpine Linux, na may GreyNoise na nagrereport ng matagumpay na pagpapakita at iba pang mga kumpanya ng seguridad na nakakakita ng aktibidad ng pag-atake.
Sinabi ng GreyNoise noong Nob. 6 na sinusubaybayan nito ang “scanning, mga pagsubok sa pagpapalaganap, at matagumpay na pagpapalaganap” ng vulnerability, na kilala bilang SSHole at tinede bilang CVE-2026-123158.
https://x.com/i/status/2118820867493056753
Nang hihiwalay, Previdian ay nagrereport ng 20 pagtatangkang pagsasamantala mula sa 13 natatanging IP address sa apat na sensor, na may aktibidad noong Nov. 6–8. Ang kumpanya ay nagbabala na ang mga obserbasyon nito sa sensor ay hindi nagtataglay kung ang mga target ay vulnerable o kung kumilos ang mga pagtatangka.
Ibinahagi rin ni watchTowr ang pagpapakita noong Nob. 6, sinasabi na ang aktibidad ay nagsasangkot ng “botnets at crypto miners.”
Sumusunod ang mga pag-atake sa paglabas noong Nob. 5 ng OpenSSH 10.6p2, na nagdala ng isang workaround para sa mga sistema ng Linux na gumagamit ng musl code library na may pinagpapalabas na PAM authentication. Inilahad ng Defiant ang kamalian nang ipalabas ang pagkakabukas.
Ang asikaso ni Alpine ay nag-uutos sa mga operator na i-install ang patched OpenSSH package para sa kanilang Alpine branch at i-restart ang SSH server, sshd. Ang pag-update ng package lamang ay hindi nagbabago sa nag-iisang proseso ng server. Ang mga operator na hindi makapag-patch ay dapat i-set ang PasswordAuthentication no at i-restart ang serbisyo sa halip.
Ang mga account na may-key lamang ay maaari pa ring maging eksposed
Ang pagpapakilala ay nangangailangan ng makakareach na SSH server na may pinagana ang password authentication at ang PAM, isang framework para sa pag-authenticate, ay pinatalsik. Ang standard na openssh-server package ng Alpine ay binuo nang walang PAM. Ang kanyang alternatibong may PAM ay hindi naaapektuhan kapag pinagana sa UsePAM yes.
Dapat ding magkaroon ang machine ng isang account na may kakayahang mag-login kung saan ang field ng naka-store na password ay isang asterisk, kasama ang kahit anong isa pang account na may SHA-256 o SHA-512 password hash. Ang kombinasyong ito ay maaaring magpalabas ng mga account na para sa key-only access: ang sobrang laking password ay nagiging dahilan na ang hashing function ng musl ay bumabalik ng asterisk bilang error marker, na pagkatapos ay tumutugma sa naka-store na field ng account.
Para sa mga operator ng crypto node, validator at exchange na gumagamit ng Alpine, ang kaugnay na pagsusuri ay ang SSH service at mga setting ng autentikasyon ng host—hindi lamang kung gumagamit ang isang aplikasyon ng container na batay sa Alpine. Sabi ng Alpine, ang mga container na hindi running sshd ay hindi apektado.
Babala rin ni Alpine na ang kanyang mga tiny-cloud image na walang patch mula sa 3.18.11 hanggang 3.24.3 ay ligtas sa unang boot ngunit maaaring mapagpansin kung idinagdag ang SHA-512 password hash, tulad ng pagtatatakda ng console password. Maaari pagkatapos ay pumasok ang isang attacker bilang alpine user at makakuha ng root privileges sa pamamagitan ng kanyang passwordless administrative access.
Bago i-disables ang password authentication, inirerekomenda ng Alpine na suriin kung gumagana ang SSH-key login at panatilihin ang umiiral na session habang sinusubok ang bagong login.
Para sa mga nakalantad na machine, inirerekomenda ng abiso na suriin ang mga log para sa mga tinanggap na login gamit ang password para sa mga account na walang password, kasama ang administrative activity at mga bagong nilikha na user, files at autorisadong keys. Kung hindi matatanggal ang posibilidad ng login, sinasabi ni Alpine na tratuhin ang machine bilang na-compromise.