Newshot 黑客在披露后数小时内瞄准 OpenSSH SSHole 漏洞，在蜜罐上获得 root 权限
据 Previdian 称，威胁行为者正试图利用一个近期披露的、影响 OpenSSH 的安全漏洞，该漏洞可让攻击者登录未设置密码的账户。
该漏洞编号为 CVE-2026-123158（CVSS 评分：8.1），代号为 SSHole（或 *sshole），影响在 musl C 库上运行 OpenSSH 且禁用可插拔认证模块（PAM）的 Linux 系统，包括 Alpine Linux 的默认 OpenSSH 服务器配置。
未认证攻击者可提供超长密码，访问被有意配置为没有可用密码的账户，而无需窃取凭据或 SSH 密钥。该问题由安全研究员 Ozgun Kultekin 发现，已在 OpenSSH 10.6p2 中修复。
该底层问题可追溯到 2016 年引入的一个补丁，用于修复编号为 CVE-2016-6210 的用户名枚举漏洞。在特定条件下，OpenSSH 中的密码处理行为会将失败的密码哈希操作误判为认证成功，因为它生成了与系统层面密码被禁用的账户相同的值（“*”）。
攻击者可触发该漏洞，使用长度在 257 到 1,024 字节之间的任意密码对某些密码被禁用的账户进行认证，导致哈希尝试失败并返回星号。随后 sshd 守护进程将其与账户密码字段中存储的星号进行比较，从而导致登录成功。
需要说明的是，成功利用该漏洞要求至少有一个账户以星号（*）作为其密码哈希。它不允许攻击者绕过具有有效密码哈希的账户的密码。
“一次成功的 SSHole 攻击会以被入侵账户的现有权限授予访问权限，”Safe Security 表示。“对企业而言，SSHole 的后果取决于被入侵账户的权限。”
“虽然未经授权的 SSH 访问是直接影响，但攻击者还可能获取部署凭据、应用密钥和相连基础设施的访问权限，从而可能实现横向移动或服务中断。”
值得注意的是，该漏洞不影响 Dropbear、基于 glibc 的 Linux 发行版、非 Linux 系统，以及通过 PAM 检查密码的系统。
威胁情报公司 Previdian 表示，它在 CVE 公布后不到九小时就观察到首次利用尝试，并补充称已确认在运行 Alpine Linux 和 OpenSSH 的蜜罐上成功获得 root 访问权限。遥测数据显示，来自一个地理位置定位到日本的 IP 地址共有八次利用尝试。
“观察到的源 IP 89.116.89[.]18 使用超长密码绕过认证，并通过非交互式 SSH 会话运行了包括 id、uname 和 hostname 在内的侦察命令，”Previdian 创始人兼 CEO Ryan Dewhurst 在提供给 The Hacker News 的一份声明中表示。
建议受影响的用户安装 OpenSSH 10.6p2 或其发行版的修补程序包，然后重启 sshd。Alpine 还建议用户调查涉及本不应接受密码登录的账户的“Accepted password for”日志条目。
“在 /var/log/messages 中查找 sshd 行，内容为 Accepted password for an account that has no password（alpine、root 或任何仅使用密钥的用户），”Alpine 说。“检查暴露机器上的 doas 使用情况以及最近创建的用户、文件和授权密钥。如果无法排除某次登录，就将该机器视为已失陷。”
更新
截至 2026 年 11 月 8 日，利用尝试次数已增至 20 次，来自 13 个唯一 IP 地址，分布于丹麦、伊朗、日本、荷兰、挪威、新加坡、瑞典、瑞士和美国。