Специалисты компании watchTowr в пятницу сообщили о продолжающихся атаках, связанных с ботнетами и криптовалютами. Аналогичную активность зафиксировала компания Previdian. Ее датчики зарегистрировали 20 попыток эксплуатации уязвимости с 13 уникальных IP-адресов, расположенных в девяти странах.
Уязвимость получила обозначение CVE-2026-123158 и связана с OpenSSH при его работе вместе с musl — альтернативной библиотекой системных функций Linux вместо широко распространённой libc. Для атаки также требуется, чтобы OpenSSH не использовал PAM — подключаемые модули аутентификации, отвечающие за проверку пользователей и доступа к учётным записям. Кроме того, в настройках должен присутствовать аккаунт с паролем, хэшированным с помощью SHA256 или SHA512, а также учётные записи без пароля, для которых в файле /etc/shadow указано значение «*».
Атака начинается после ввода пароля длиной более 256 символов для учётной записи без пароля. В этот момент сервер OpenSSH хэширует введённую строку и сравнивает результат со значением из файла /etc/shadow. Слишком длинный пароль вызывает ошибку, из-за которой функция musl возвращает символ «*», а злоумышленники используют неправильное определение того, является ли строка хэшем пароля; об этом сообщила компания Red Hat.
Несмотря на необходимость одновременного выполнения нескольких условий, CVE-2026-123158 представляет серьёзную угрозу для большого числа устройств, особенно работающих на облегчённом дистрибутиве Linux Alpine. По данным Ars Technica, эксплуатация не требует сложных действий и позволяет направлять вредоносные команды на миллионы SSH-серверов, доступных из интернета, а также за считаные секунды находить уязвимые системы. Пользователям OpenSSH рекомендуется как можно скорее установить обновление, а владельцам систем на musl — дополнительно проверить их безопасность.