Retour

Exploitation Active Signalée pour la Vulnérabilité SSHole d'OpenSSH

Bureau de lite News 2 min de lecture

La vulnérabilité d'OpenSSH connue sous le nom de SSHole, identifiée comme CVE-2026-123158, est activement exploitée, selon des chercheurs en sécurité dont les observations ont été rapportées par Ars Technica le 9 novembre 2026. Les attaques signalées impliquent une faille affectant uniquement les systèmes Linux sous une combinaison particulière de logiciels, de paramètres d'authentification et de configurations de compte.

La configuration affectée utilise musl sans PAM et doit également répondre aux exigences pertinentes d'authentification par mot de passe. Selon l'explication technique publiée par Ars Technica, un compte doit être sans mot de passe, avec un astérisque enregistré dans /etc/shadow. Un autre compte doit contenir un hachage de mot de passe basé soit sur SHA-256, soit sur SHA-512.

Pour un compte sans mot de passe répondant à ces conditions, le contournement d'authentification signalé implique de soumettre un mot de passe dépassant 256 caractères. Sur ce chemin d'erreur, la fonction de hachage de mot de passe dans musl produit un astérisque. OpenSSH peut alors traiter ce résultat comme correspondant à l'astérisque stocké pour le compte dans le fichier shadow, selon le compte technique.

Les observations rapportées par des entreprises de sécurité couvrent à la fois les tentatives et les exploitations réussies. BleepingComputer a rapporté que des entreprises ont d'abord détecté des tentatives le 5 novembre 2026, avec une exploitation réussie observée le lendemain. Son compte a séparément placé la première exploitation réussie de GreyNoise enregistrée par ses propres capteurs à 00:46 UTC le 7 novembre.

GreyNoise a déclaré qu'un groupe qu'il identifie comme GT10 a attaqué ses honeypots en Asie du Sud-Est. Selon le compte d'Ars Technica sur l'enquête, GreyNoise a décrit ces événements comme des intrusions et a ensuite accédé à un serveur appartenant à GT10. Cet examen a couvert les outils du groupe et les victimes possibles, plutôt que d'établir chaque victime possible comme un compromis confirmé.

Un ensemble distinct d'observations de capteurs attribuées à Previdian a couvert une période se terminant le 8 novembre 2026. Ars Technica a rapporté un total de 20 tentatives d'exploitation impliquant 13 adresses IP différentes associées à neuf pays. Ces chiffres décrivent des tentatives, et non un compte de 20 connexions réussies.

Un correctif pour SSHole avait été publié par OpenSSH, selon Ars Technica. Les notes de version du projet datent la sortie de Portable OpenSSH 10.6p2 au 5 novembre 2026.

* Cet article est basé sur des informations publiquement disponibles au moment de la rédaction.

Plus d’articles de Cybersécurité

  1. L'exploitation nécessite qu'un utilisateur ouvre un fichier de message spécialement préparé ; Outlook peut alors contacter une destination réseau contrôlée par un attaquant sans son avertissement habituel.

  2. N-able a conseillé aux clients utilisant N-central sur leurs propres locaux de déconnecter leurs serveurs jusqu'à nouvel ordre.

  3. Le conseil provisoire de D-Link est de désactiver DDP sur le commutateur et les interfaces applicables ; la société a déclaré que cela avait arrêté les chemins d'attaque DDP testés.

  4. L'estimation de Docomo évalue les enregistrements affectés à jusqu'à 300 000 ; une maintenance d'urgence sur les deux services était toujours en cours le 6 novembre.

  5. L'accès nécessite une vérification d'identité ; les organisations doivent également utiliser l'authentification unique et l'authentification multi-facteurs, avec un accès API restreint par liste blanche d'IP.