Penyerang memanfaatkan kelemahan bypass kata sandi SSH yang memengaruhi beberapa sistem Alpine Linux, dengan GreyNoise melaporkan eksploitasi berhasil dan perusahaan keamanan lain mendeteksi aktivitas serangan.
GreyNoise mengatakan pada 6 Nov bahwa mereka memantau "pemindaian, upaya eksploitasi, dan eksploitasi berhasil" terhadap kerentanan yang dikenal sebagai SSHole dan dilacak sebagai CVE-2026-123158.
https://x.com/i/status/2118820867493056753
Secara terpisah, Previdian melaporkan 20 upaya eksploitasi dari 13 alamat IP berbeda di empat sensor, dengan aktivitas yang terjadi pada 6–8 Nov. Perusahaan tersebut memperingatkan bahwa pengamatan sensornya tidak menentukan apakah target-target tersebut rentan atau apakah upaya-upaya tersebut berhasil.
watchTowr juga melaporkan eksploitasi pada 6 November, mengatakan aktivitas tersebut melibatkan “botnet dan penambang kripto.”
Serangan tersebut mengikuti rilis OpenSSH 10.6p2 pada 5 Nov, yang memperkenalkan solusi sementara untuk sistem Linux yang menggunakan pustaka kode musl dengan autentikasi PAM dinonaktifkan. The Defiant melaporkan kelemahan tersebut saat pembaruan rilis.
Peringatan Alpine menyarankan operator untuk menginstal paket OpenSSH yang telah diperbaiki untuk cabang Alpine mereka dan me-restart server SSH, sshd. Memperbarui paket saja tidak mengubah proses server yang sedang berjalan. Operator yang tidak dapat memperbaiki sebaiknya mengatur PasswordAuthentication no dan me-restart layanan tersebut sebagai gantinya.
Akun Hanya Kunci Masih Dapat Terekspos
Eksploitasi memerlukan server SSH yang dapat dijangkau dengan autentikasi kata sandi diaktifkan dan PAM, kerangka autentikasi, dinonaktifkan. Paket openssh-server standar Alpine dibangun tanpa PAM. Alternatifnya yang mendukung PAM tidak terpengaruh saat dikonfigurasi dengan UsePAM yes.
Mesin juga harus memiliki akun yang dapat login, dengan bidang kata sandi yang disimpan berupa tanda bintang, ditambah setidaknya satu akun lain dengan hash kata sandi SHA-256 atau SHA-512. Kombinasi ini dapat mengekspos akun yang dimaksudkan untuk akses hanya kunci: kata sandi yang terlalu panjang membuat fungsi hashing musl mengembalikan tanda bintang sebagai penanda kesalahan, yang kemudian cocok dengan bidang yang disimpan pada akun tersebut.
Untuk operator node kripto, validator, dan bursa yang menjalankan Alpine, pemeriksaan yang relevan adalah layanan SSH dan pengaturan otentikasi host—bukan hanya apakah sebuah aplikasi menggunakan kontainer berbasis Alpine. Alpine menyatakan bahwa kontainer yang tidak menjalankan sshd tidak terpengaruh.
Alpine juga memperingatkan bahwa gambar tiny-cloud yang belum diperbaiki dari 3.18.11 hingga 3.24.3 aman pada boot pertama, tetapi menjadi rentan jika hash kata sandi SHA-512 ditambahkan, misalnya dengan mengatur kata sandi konsol. Penyerang kemudian dapat masuk sebagai pengguna alpine dan mendapatkan hak akses root melalui akses administratif tanpa kata sandi.
Sebelum menonaktifkan otentikasi kata sandi, Alpine menyarankan untuk memeriksa apakah login dengan kunci SSH berfungsi dan tetap menjaga sesi yang ada terbuka saat menguji login baru.
Untuk mesin yang terbuka, saran merekomendasikan untuk meninjau log untuk login kata sandi yang diterima ke akun yang tidak memiliki kata sandi, bersama dengan aktivitas administratif dan pengguna, file, serta kunci yang diizinkan yang baru dibuat. Jika login tidak dapat dikesampingkan, Alpine menyarankan untuk memperlakukan mesin tersebut sebagai telah dikompromikan.