OpenSSH SSHole permite login sem senha, saiba checar
Falha já é alvo de exploração e afeta Linux com musl e PAM desativado.
Resumo rapido
Atacantes passaram a testar uma falha recém-divulgada no OpenSSH, apelidada de SSHole. Em configurações específicas, ela abre entrada em contas Linux sem senha definida. A correção está no OpenSSH 10.6p2.
Neste artigo voce vai aprender:
- O que é a falha SSHole no OpenSSH.
- Quais ambientes Linux estão no escopo informado.
- Por que contas sem senha podem virar porta de entrada.
- O que verificar agora em servidores expostos.
- Quais ações reduzem o risco imediato.
O que é a falha SSHole
A vulnerabilidade CVE-2026-123158, com pontuação CVSS 8.1, ganhou o apelido SSHole. Pelas informações divulgadas, ela atinge sistemas Linux que executam OpenSSH sobre a biblioteca C musl com PAM desativado. A configuração padrão do servidor OpenSSH no Alpine Linux entra nesse recorte.
O risco é direto: alguém sem credenciais consegue entrar em uma conta configurada sem senha utilizável. A descoberta é creditada a Ozgun Kultekin, e a correção chegou no OpenSSH 10.6p2.
Como o acesso indevido acontece
A exploração depende de uma combinação bem específica de fatores. O atacante envia uma senha muito grande, entre 257 e 1.024 bytes. A tentativa de gerar o hash dessa senha falha, e o OpenSSH acaba interpretando o resultado como equivalente ao valor que o sistema usa para indicar senha desativada: um asterisco.
Quando a conta tem exatamente um asterisco no campo de senha, o sshd compara os valores e libera a entrada. Isso não significa quebrar senhas válidas. Sem ao menos uma conta nesse formato de senha desativada, o ataque não vai adiante.
Sinais para identificar risco
O primeiro passo é mapear se o seu ambiente reúne os fatores citados. Vale olhar com atenção para:
- Servidores Linux usando OpenSSH com biblioteca musl.
- PAM desativado na autenticação do OpenSSH.
- Uso de Alpine Linux com configuração padrão do OpenSSH server.
- Contas locais com asterisco no campo de senha.
- Tentativas recentes de login SSH com senhas anormalmente longas.
O tamanho do estrago varia conforme a permissão da conta alcançada. Com privilégios elevados, o invasor chega a dados, segredos de aplicação, credenciais de implantação e a qualquer recurso conectado àquele servidor.
Medidas imediatas de protecao
A ação número um é atualizar o OpenSSH para a versão 10.6p2 nos sistemas afetados. Depois, revise as contas sem senha utilizável e questione se elas ainda precisam existir. Contas de serviço esquecidas ampliam o risco justamente porque costumam ter acesso a arquivos, chaves e automações internas.
- Bloqueie acesso SSH externo quando não for necessário.
- Remova ou ajuste contas com senha marcada por asterisco.
- Revise permissões de contas que podem acessar servidores por SSH.
- Monitore logs de autenticação em busca de tentativas fora do padrão.
Checklist pratico
- Inventarie servidores com OpenSSH, musl e PAM desativado.
- Atualize OpenSSH para 10.6p2 nos sistemas dentro do escopo.
- Revise contas sem senha e reduza permissões desnecessárias.
Perguntas frequentes
A falha SSHole quebra senhas normais?
Não. Conforme o material divulgado, ela não contorna contas com hashes de senha válidos. O caso envolve contas com senha desativada por asterisco.
Todo servidor OpenSSH está vulnerável?
Não. O cenário descrito envolve Linux com OpenSSH rodando sobre musl e PAM desativado, incluindo a configuração padrão do Alpine Linux citada na divulgação.
Qual é a correção indicada?
A falha foi tratada no OpenSSH 10.6p2. Além da atualização, revise contas sem senha e os logs de autenticação.
Proteja sua empresa com a LC SEC
A LC SEC ajuda sua empresa a identificar exposição em servidores, revisar acessos SSH e priorizar correções antes que uma falha vire incidente.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Fontes:
https://thehackernews.com/2026/11/hackers-exploited-openssh-sshole-flaw.html
Compartilhe nas redes sociais:
