Les attaquants exploitent la faille de contournement du mot de passe SSH affectant certains systèmes Alpine Linux, avec GreyNoise signalant des exploitations réussies et d'autres sociétés de sécurité détectant des activités d'attaque.
GreyNoise a déclaré le 6 novembre qu'il surveillait les "analyses, tentatives d'exploitation et exploitations réussies" de la vulnérabilité connue sous le nom de SSHole et identifiée sous le numéro CVE-2026-123158.
https://x.com/i/status/2118820867493056753
Séparément, Previdian signale 20 tentatives d'exploitation provenant de 13 adresses IP distinctes à travers quatre capteurs, avec des activités datées du 6 au 8 novembre. L'entreprise avertit que ses observations de capteurs ne permettent pas d'établir si les cibles étaient vulnérables ou si les tentatives ont réussi.
watchTowr a également signalé une exploitation le 6 novembre, affirmant que l'activité impliquait « des botnets et des mineurs de crypto-monnaies ».
Les attaques suivent la publication du 5 novembre d'OpenSSH 10.6p2, qui a introduit une contournement pour les systèmes Linux utilisant la bibliothèque de code musl avec l'authentification PAM désactivée. The Defiant a couvert cette faille à la sortie du correctif.
Conseil d'Alpine invite les administrateurs à installer le paquet OpenSSH corrigé pour leur branche Alpine et à redémarrer le serveur SSH, sshd. La mise à jour du paquet seul ne modifie pas le processus du serveur en cours d'exécution. Les administrateurs ne pouvant pas appliquer le correctif doivent définir PasswordAuthentication no et redémarrer le service à la place.
Les comptes uniquement clés peuvent toujours être exposés
L'exploitation nécessite un serveur SSH accessible avec l'authentification par mot de passe activée et PAM, un framework d'authentification, désactivé. Le paquet standard openssh-server d'Alpine est compilé sans PAM. Son alternative activée pour PAM n'est pas affectée lorsqu'elle est configurée avec UsePAM yes.
La machine doit également disposer d’un compte éligible à la connexion dont le champ de mot de passe stocké est un astérisque, ainsi qu’au moins un autre compte avec un hachage de mot de passe SHA-256 ou SHA-512. Cette combinaison peut exposer des comptes destinés à un accès uniquement par clé : un mot de passe trop long fait retourner à la fonction de hachage de musl un astérisque comme marqueur d’erreur, qui correspond ensuite au champ stocké du compte.
Pour les opérateurs de nœuds, validateurs et plateformes d'échange cryptographiques utilisant Alpine, la vérification pertinente concerne le service SSH et les paramètres d'authentification de l'hôte — et non simplement le fait qu'une application utilise un conteneur basé sur Alpine. Alpine indique que les conteneurs qui n'exécutent pas sshd ne sont pas concernés.
Alpine prévient également que ses images tiny-cloud non corrigées de la 3.18.11 à la 3.24.3 sont sécurisées lors du premier démarrage, mais deviennent exploitables si un hachage de mot de passe SHA-512 est ajouté, par exemple en définissant un mot de passe de console. Un attaquant peut alors se connecter en tant qu'utilisateur alpine et obtenir des privilèges root grâce à son accès administratif sans mot de passe.
Avant de désactiver l'authentification par mot de passe, Alpine conseille de vérifier que la connexion par clé SSH fonctionne et de garder la session existante ouverte pendant le test d'une nouvelle connexion.
Pour les machines exposées, l'avis recommande de consulter les journaux pour les connexions acceptées par mot de passe vers des comptes n'ayant aucun mot de passe, ainsi que les activités administratives, les utilisateurs, fichiers et clés autorisées nouvellement créés. Si une connexion ne peut être exclue, Alpine recommande de considérer la machine comme compromise.