Atacantes estão explorando a falha de contorno de senha SSH que afeta alguns sistemas Alpine Linux, com o GreyNoise relatando exploração bem-sucedida e outras empresas de segurança detectando atividades de ataque.
GreyNoise disse em 6 de novembro que estava monitorando "varreduras, tentativas de exploração e exploração bem-sucedida" da vulnerabilidade, conhecida como SSHole e rastreada como CVE-2026-123158.
https://x.com/i/status/2118820867493056753
Separadamente, Previdian relata 20 tentativas de exploração provenientes de 13 endereços IP distintos em quatro sensores, com atividade datada de 6 a 8 de novembro. A empresa alerta que suas observações de sensores não estabelecem se os alvos eram vulneráveis ou se as tentativas tiveram sucesso.
watchTowr também relatou exploração em 6 de novembro, dizendo que a atividade envolvia “botnets e mineradores de criptomoedas.”
Os ataques ocorrem após a liberação do OpenSSH 10.6p2 em 5 de novembro, que introduziu uma solução alternativa para sistemas Linux que utilizam a biblioteca de código musl com autenticação PAM desativada. The Defiant cobriu a falha quando a correção foi lançada.
Alpine’s advisory orienta os operadores a instalar o pacote OpenSSH corrigido para sua branch Alpine e reiniciar o servidor SSH, sshd. Atualizar apenas o pacote deixa o processo do servidor em execução inalterado. Operadores que não puderem aplicar a correção devem definir PasswordAuthentication no e reiniciar o serviço em vez disso.
Contas apenas com chave ainda podem ser expostas
A exploração requer um servidor SSH acessível com autenticação por senha ativada e o PAM, um framework de autenticação, desativado. O pacote padrão openssh-server do Alpine é compilado sem PAM. Sua alternativa com PAM ativado não é afetada quando configurada com UsePAM yes.
A máquina também deve ter uma conta elegível para login cujo campo de senha armazenada seja um asterisco, além de pelo menos uma outra conta com hash de senha SHA-256 ou SHA-512. Essa combinação pode expor contas destinadas ao acesso apenas por chave: uma senha excessivamente longa faz a função de hash da musl retornar um asterisco como marcador de erro, que então corresponde ao campo armazenado da conta.
Para operadores de nó de criptomoeda, validador e exchange que utilizam Alpine, a verificação relevante é o serviço SSH e as configurações de autenticação do host—não simplesmente se uma aplicação utiliza um contêiner baseado em Alpine. O Alpine afirma que contêineres que não executam sshd não são afetados.
Alpine também alerta que suas imagens tiny-cloud sem correção da 3.18.11 à 3.24.3 são seguras na primeira inicialização, mas tornam-se exploráveis se um hash de senha SHA-512 for adicionado, como ao definir uma senha de console. Um atacante pode então entrar como o usuário alpine e obter privilégios de root por meio de seu acesso administrativo sem senha.
Antes de desativar a autenticação por senha, o Alpine recomenda verificar se o login por chave SSH funciona e manter a sessão atual aberta enquanto testa um novo login.
Para máquinas expostas, o aviso recomenda revisar os logs de logins aceitos com senha para contas que não possuem senha, além de atividades administrativas e usuários, arquivos e chaves autorizadas recém-criados. Se um login não puder ser descartado, a Alpine recomenda tratar a máquina como comprometida.