OpenSSH 高危漏洞 SSHole 披露后数小时即遭利用，蜜罐被获取 root 权限

一个编号为 CVE-2026-123158 的 OpenSSH 漏洞在 CVE 公布约九小时后即遭攻击者利用。安全公司 Previdian 称，其一台运行 Alpine Linux 的蜜罐被攻破并取得 root 权限。该漏洞 CVSS 评分为 8.1，被命名为 SSHole，OpenSSH 10.6p2 已修复。

漏洞影响在 musl C 库上运行 OpenSSH 且禁用 PAM 的 Linux 系统，包括 Alpine Linux 的默认 OpenSSH 服务器配置。未认证攻击者可向没有可用密码的账户提交超长密码完成登录，无需窃取凭据或 SSH 密钥。

漏洞成因

SSHole 的技术根源可追溯到 2016 年为修复 CVE-2016-6210 而引入的一段补丁代码。CVE-2016-6210 本身是一个用户名枚举漏洞，但在修补后的逻辑中，OpenSSH 会把一次失败的密码哈希运算当作认证成功处理，原因是该失败会返回一个星号，而星号正是 OpenSSH 用来标记系统层面已禁用密码的账户的符号。

攻击者可以提交长度在 257 至 1024 字节之间的超长密码。这一超长输入使哈希尝试失败并返回星号，sshd 随后将该结果与账户密码字段中存储的星号进行比较，从而把这次登录判定为成功。该手法仅对密码字段为星号的账户有效，无法绕过设有有效密码哈希的账户。

该漏洞由安全研究员 Ozgun Kultekin 发现，编号 CVE-2026-123158，CVSS 评分为 8.1，并被命名为 SSHole。利用成功后，攻击者获得的是被攻破账户本身已有的权限，因此实际影响取决于该账户的权限级别。

受影响范围

未认证攻击者无需窃取凭据或 SSH 密钥，即可登录那些没有可用密码的账户。

Dropbear、基于 glibc 的 Linux 发行版、非 Linux 系统以及通过 PAM 校验密码的系统均不受该漏洞影响。由于攻击针对的是密码哈希为星号的账户，使用强密码或基于密钥访问的账户不会直接暴露在该缺陷之下。

Safe Security 表示，未经授权的 SSH 访问是最直接的影响，更广泛的风险则取决于被攻破账户的权限。攻击者可能借此接触部署凭据、应用密钥以及相连的基础设施，进而实施横向移动或造成服务中断。

蜜罐被攻破经过

安全公司 Previdian 称，其在 CVE 公布约九小时后即观察到利用活动，并在一台运行 Alpine Linux 和 OpenSSH 的蜜罐上确认攻击者成功取得 root 权限。遥测数据显示，来自一个地理位置归属日本的 IP 地址共发起了八次利用尝试。

Previdian 创始人兼首席执行官 Ryan Dewhurst 表示，源 IP 89.116.89[.]18 使用超长密码绕过认证，并通过非交互式 SSH 会话执行了 id、uname 和 hostname 等侦察命令。这一过程说明攻击者在获得访问权限后首先进行环境探测。

从披露到实际利用之间的时间窗口极短，反映出攻击者对这一漏洞的关注程度。蜜罐被取得 root 权限也表明，在受影响配置下，该漏洞可能带来的后果并不限于普通账户登录。

修复与排查建议

受影响用户应安装 OpenSSH 10.6p2 或所在发行版提供的修复包，并重启 sshd。Alpine 还建议检查日志中是否存在本不应接受密码登录的账户出现成功密码登录的记录。

管理员可在 /var/log/messages 中查找 sshd 的相关行，关注针对没有密码的账户（例如 alpine、root 或任何仅使用密钥的用户）出现 Accepted password 的记录。同时应审查暴露在外的机器上 doas 的使用情况，以及近期创建的用户、文件和 authorized keys。

Alpine 表示，如果管理员无法排除某台机器曾被登录，应将该机器视为已遭攻破。管理员还应审计密码已禁用的账户，尽可能删除不必要的账户，然后在所有暴露系统上应用补丁并重启 sshd。

要点

• 漏洞编号 CVE-2026-123158，CVSS 评分 8.1
• CVE 公布约九小时后出现利用尝试
• 攻击者向无可用密码账户提交 257 至 1024 字节密码
• 蜜罐遥测显示 8 次利用尝试，来源 IP 定位日本
• OpenSSH 10.6p2 修复，需重启 sshd