Chưa đầy 9 giờ sau khi CVE được công bố, đã có kẻ thử khai thác lỗ hổng SSHole — và thành công, chiếm được root trên một honeypot chạy Alpine Linux + OpenSSH. Thông tin từ hãng tình báo mối đe dọa Previdian, đăng trên The Hacker News ngày 06/11/2026.

Lỗ hổng là gì

SSHole (CVE-2026-123158, CVSS 8.1) ảnh hưởng OpenSSH chạy trên musl libc khi tắt PAM — trong đó có cấu hình OpenSSH mặc định của Alpine Linux. Kẻ tấn công không cần biết mật khẩu hay SSH key: chỉ cần gửi một mật khẩu dài 257–1.024 byte tới tài khoản có trường mật khẩu là * (tài khoản không đặt mật khẩu, ví dụ root trên Alpine 3.16+ và user alpine mặc định). Lỗi nằm ở cách OpenSSH xử lý khi hàm băm mật khẩu thất bại: nó trả về đúng giá trị * giống như trường mật khẩu của tài khoản, nên sshd tưởng là đăng nhập thành công.

Nói rõ để khỏi hiểu sai: lỗ hổng không phá được mật khẩu của tài khoản có mật khẩu hợp lệ. Nó chỉ mở cửa các tài khoản vốn đã để *. Không ảnh hưởng Dropbear, distro dùng glibc, hệ không phải Linux, và hệ kiểm tra mật khẩu qua PAM.

Bằng chứng khai thác thật

Previdian ghi nhận lần thử đầu tiên chưa đầy 9 giờ sau khi CVE công bố, tổng cộng 8 lần thử từ một IP ở Nhật (89.116.89[.]18). Kẻ tấn công dùng mật khẩu quá dài để qua mặt xác thực, rồi chạy lệnh trinh sát id, uname, hostname qua SSH không tương tác — và đã có quyền root trên honeypot.

Gốc rễ của lỗi là một bản vá từ năm 2016 sửa lỗi liệt kê username (CVE-2016-6210) — tức lỗi này đã nằm trong code gần 10 năm mới bị phát hiện.

Ai cần làm gì ngay

  • Cập nhật OpenSSH 10.6p2 hoặc gói đã vá của distro, rồi phải restart sshd thì bản vá mới có tác dụng.
  • Kiểm tra log: trong /var/log/messages, tìm các dòng sshd Accepted password for với tài khoản vốn không được phép đăng nhập bằng mật khẩu (alpine, root, hoặc bất kỳ user chỉ dùng key nào).
  • Rà soát doas, user/file/key mới tạo gần đây trên các máy expose ra ngoài.
  • Alpine khuyến cáo thẳng: nếu không loại trừ được đã có login lạ thì coi máy như đã bị xâm nhập.

Checklist nhanh cho VPS/container Alpine của bạn

  1. apk info openssh — đã lên bản vá chưa?
  2. grep '^root:\|^alpine:' /etc/shadow — tài khoản nào đang để *?
  3. grep "Accepted password" /var/log/messages — có login mật khẩu nào bất thường không?
  4. Restart sshd sau khi vá.

Nguồn