Lỗ hổng OpenSSH cho phép SSH trái phép vào Linux đang bị khai thác
"A critical vulnerability (*sshole, CVE-2026-123158) in OpenSSH when used with the musl library is being actively exploited. Attackers can gain unauthenticated access to privileged accounts on vulnerable Linux systems by providing oversized passwords to passwordless accounts. Applying the OpenSSH update is the recommended mitigation."
Lỗ hổng OpenSSH cho phép truy cập trái phép vào hệ thống, có thể dẫn đến mất dữ liệu hoặc thực thi mã độc.
Các doanh nghiệp có máy chủ SSH công khai có thể bị tấn công và gián đoạn dịch vụ, gây thiệt hại về tài chính và uy tín.
OpenSSH đang bị khai thác qua lỗ hổng *sshole (CVE-2026-123158) khi dùng với thư viện musl. Kẻ tấn công có thể truy cập tài khoản đặc quyền trên hệ thống Linux dễ bị tấn công bằng mật khẩu quá dài. Cập nhật OpenSSH là cách khắc phục được khuyến nghị.
Lỗ hổng này xuất hiện khi OpenSSH tương tác với thư viện musl. Các hệ thống Linux sử dụng cả hai gói này, đồng thời đáp ứng các điều kiện nhất định, có thể bị tấn công để cấp quyền truy cập trái phép vào tài khoản có quyền cao trong vài giây. *sshole được công bố vào tuần trước và nhanh chóng gây lo ngại về khả năng xâm nhập diện rộng.
Công ty bảo mật Greynoise báo cáo nhóm GT10 đang tấn công các honeypot (bẫy mật) ở Đông Nam Á. Nhóm này thực hiện các cuộc tấn công tinh vi, truy cập máy chủ GT10 và thu thập thông tin về các nạn nhân tiềm năng, cũng như công cụ sử dụng. Backdoor mà nhóm này dùng có bình luận bằng tiếng Trung và có vẻ được tạo bằng AI. GT10 cài đặt Python3 nếu máy chưa có, vì backdoor TAC Agent cần gói này để hoạt động. TAC Agent hỗ trợ nhiều chức năng như lệnh shell, trinh sát hệ thống và duy trì quyền truy cập.
Các nhà nghiên cứu tại watchTowr và Previdian cũng ghi nhận hoạt động khai thác liên quan đến botnet và tiền điện tử. Previdian phát hiện 20 nỗ lực khai thác từ 13 địa chỉ IP khác nhau ở 9 quốc gia.
CVE-2026-123158 nằm trong OpenSSH khi chạy cùng musl, một lựa chọn thay thế cho libc. OpenSSH không được dùng PAM (khung xác thực) và cấu hình SSH phải có tài khoản dùng mật khẩu SHA256/SHA512, đồng thời cho phép đăng nhập không mật khẩu bằng dấu trong /etc/shadow. Kẻ tấn công nhập mật khẩu dài hơn 256 ký tự cho tài khoản không mật khẩu. Lỗi này khiến musl trả về , cho phép tấn công. Red Hat cho rằng lỗ hổng nằm ở việc hiểu sai chuỗi có phải là băm mật khẩu hay không.
CVE-2026-123158 đe dọa nhiều máy, đặc biệt là các hệ thống chạy Alpine Linux. Việc khai thác dễ dàng cho phép kẻ tấn công gửi lệnh độc hại đến hàng triệu máy chủ SSH trên Internet và xác định các máy dễ bị tấn công trong vài giây. Bạn nên cập nhật OpenSSH ngay lập tức. Nếu dùng musl, hãy kiểm tra thêm.
Câu hỏi thường gặp
Lỗ hổng *sshole là gì?
Lỗ hổng *sshole (CVE-2026-123158) là một lỗi trong OpenSSH khi dùng với thư viện musl, cho phép kẻ tấn công truy cập trái phép vào tài khoản đặc quyền trên hệ thống Linux.
Hệ thống nào dễ bị tấn công?
Các hệ thống Linux sử dụng cả OpenSSH và thư viện musl, không dùng PAM, có tài khoản mật khẩu SHA256/SHA512 và cho phép đăng nhập không mật khẩu dễ bị tấn công nhất.
Cách khắc phục lỗ hổng này là gì?
Cập nhật OpenSSH lên phiên bản mới nhất là cách khắc phục được khuyến nghị. Nếu dùng musl, hãy kiểm tra thêm các cấu hình hệ thống.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng chú ý với các doanh nghiệp Việt Nam sử dụng Alpine Linux hoặc các bản phân phối Linux khác có cấu hình tương tự. Việc cập nhật OpenSSH ngay lập tức là cần thiết để giảm thiểu rủi ro bị tấn công. Điều đáng chú ý là lỗ hổng này có thể bị khai thác dễ dàng, khiến các máy chủ SSH công khai trở thành mục tiêu tiềm năng.