攻擊者正在利用影響部分 Alpine Linux 系統的 SSH 密碼繞過漏洞，GreyNoise 報告已成功利用，其他安全公司亦偵測到攻擊活動。
GreyNoise 於 11 月 6 日表示，正在監控被稱為 SSHole 且編號為 CVE-2026-123158 的漏洞的掃描、利用嘗試及成功利用。
https://x.com/i/status/2118820867493056753
此外，Previdian 報告稱，於 11 月 6 日至 8 日期間，透過四個感測器檢測到來自 13 個不同 IP 位址的 20 次攻擊嘗試。該公司提醒，其感測器的觀測結果並未證實目標是否易受攻擊，或攻擊是否成功。
watchTowr 亦於 11 月 6 日報告了遭利用的情況，稱該活動涉及「機器人網路和加密貨幣挖礦」。
這些攻擊發生在 11 月 5 日 OpenSSH 10.6p2 發布 之後，該版本為使用 musl 代碼庫且已停用 PAM 認證的 Linux 系統引入了一種變通方法。The Defiant 在修補程式發布時報道了此漏洞。
Alpine 的建議 告知操作員為其 Alpine 分支安裝已修補的 OpenSSH 套件並重新啟動 SSH 伺服器，sshd。僅更新套件並不會改變正在運行的伺服器進程。無法修補的操作員應設置 PasswordAuthentication no 並重新啟動服務。
僅限密鑰帳戶仍可能遭受暴露
利用需要一個可訪問的 SSH 伺服器，且已啟用密碼驗證並禁用 PAM（一種驗證框架）。Alpine 的標準 openssh-server 套件是不帶 PAM 的。當其啟用 PAM 的替代版本配置為 UsePAM yes 時，則不受影響。
該機器還必須具有一個可登入的帳戶，其儲存的密碼欄位為星號（*），並至少另有一個具有 SHA-256 或 SHA-512 密碼雜湊的帳戶。這種組合可能暴露僅限密鑰存取的帳戶：過長的密碼會使 musl 的雜湊函數返回星號作為錯誤標記，從而與帳戶的儲存欄位匹配。
對於在 Alpine 上運行加密貨幣節點、驗證者和交易所操作的用戶，相關檢查是主機的 SSH 服務和認證設定，而非僅僅是應用程式是否使用基於 Alpine 的容器。Alpine 表示，不運行 sshd 的容器不受影響。
Alpine 亦警告，從 3.18.11 至 3.24.3 的未修補 tiny-cloud 鏡像在首次啟動時是安全的，但若新增 SHA-512 密碼雜湊（例如設定控制台密碼），就會變得可被利用。攻擊者隨後可以 alpine 使用者身分登入，並透過其無密碼的管理存取權限取得 root 權限。
在停用密碼驗證之前，Alpine 建議檢查 SSH 金鑰登入是否正常，並在測試新登入時保持現有會話開啟。
對於暴露的機器，建議審查日誌，檢查無密碼帳戶的接受密碼登入、管理活動以及新建立的使用者、檔案和授權金鑰。如果無法排除登入的可能性，Alpine 建議將該機器視為已遭入侵。