Lỗ hổng OpenSSH có biệt danh SSHole (CVE-2026-123158, CVSS 8.1) không còn chỉ nằm trong phòng thí nghiệm. Công ty tình báo mối đe doạ Previdian cho biết lần thử khai thác đầu tiên họ ghi nhận diễn ra chưa đầy 9 giờ sau khi CVE được công bố, và họ đã xác nhận kẻ tấn công chiếm được quyền root trên một honeypot chạy Alpine Linux và OpenSSH thật. Bản vá OpenSSH 10.6p2 phát hành ngày 05/11/2026.
Kẻ tấn công đã làm gì: theo Help Net Security, các lần thử đầu tiên đến từ một địa chỉ IP mà Previdian gắn với Nhật Bản. IP này gửi mật khẩu siêu dài để vượt qua xác thực, rồi chạy id, uname và hostname qua các phiên SSH không tương tác. Ban đầu Previdian đếm được 8 lần thử từ địa chỉ đó, do một cảm biến ghi nhận. Trang CVE công khai của họ, cập nhật ngày 06/11, nay liệt kê các lần thử từ 3 địa chỉ IP ở 3 quốc gia (Thuỵ Sĩ, Nhật Bản, Singapore) qua 2 cảm biến, lần đầu lúc 00:05 UTC; trang này lưu ý một lần thử không cho biết mục tiêu có thực sự dính lỗi hay không. Các con số giữa các nguồn chưa khớp nhau, nên chỉ nên xem là số liệu ban đầu. Lúc Help Net Security đăng bài, CISA chưa đưa lỗi này vào danh mục KEV.
Ai bị ảnh hưởng: OpenSSH trước 10.6p2 trên các hệ Linux dùng musl libc và không kiểm tra mật khẩu qua PAM. Gói openssh-server mặc định của Alpine Linux thuộc diện này; nhà nghiên cứu Özgün Kültekin còn nêu OpenWrt, Buildroot, Yocto và nhiều Docker image. Để tấn công cần: đăng nhập bằng mật khẩu đang bật (mặc định của OpenSSH), một tài khoản có trường mật khẩu là * (root, user deploy chỉ dùng khoá, user LDAP, user mặc định trên image AWS và Azure của Alpine) và một tài khoản cục bộ khác có hash mật khẩu. Khi đó các tài khoản này chấp nhận bất kỳ mật khẩu nào dài hơn 256 ký tự. Theo nhà nghiên cứu, hệ glibc như Debian, Ubuntu, Fedora, cấu hình có PAM, Dropbear và OpenBSD không bị ảnh hưởng.
Vì sao root đáng lo: cấu hình mặc định PermitRootLogin của OpenSSH chặn đăng nhập root trực tiếp nếu quản trị viên không đổi. Rủi ro lớn hơn, theo Help Net Security, nằm ở image tiny-cloud chính thức của Alpine trên AWS và Azure (3.18.11 đến 3.24.3): user mặc định alpine được dùng doas không cần mật khẩu, tức là có root.
Nhà phát triển OpenSSH Damien Miller cho biết bản vá được phát hành gấp vì gần đây các AI agent tìm lại lỗi rất nhanh. Mã khai thác thử nghiệm (PoC) đã có trên GitHub; Previdian cảnh báo chúng chưa được kiểm chứng và có thể chứa mã độc. Bạn có thể kiểm tra những gì máy chủ công khai của mình đang lộ ra bằng bản quét miễn phí của Watchpost.
