ハッカーがOpenSSHの認証バイパス脆弱性「SSHole」を悪用

攻撃者が、最近修正された深刻度の高いOpenSSHの認証バイパス脆弱性「SSHole」の悪用を開始しました。

この脆弱性は「CVE-2026-123158」として追跡されており、「文字列がパスワードハッシュであるかどうかの解釈の誤り」に起因します。257〜1024文字の任意のパスワードを送り付けるだけで、特定のアカウントにアクセスできてしまう恐れがあります。

悪用に成功すると、本来パスワードを受け付けないはずのrootなどのアカウントにアクセスされる可能性があります。

Alpine、Buildroot、OpenWrt、Yoctoなど、musl libc実装を使用し、かつPAM（Pluggable Authentication Module）を無効にしている一部のLinuxディストリビューションでは、こうしたアカウントがパスワードを受け付けてしまいます。

原因は、OpenSSHサーバー（sshd）のパスワード検証方法にあります。sshdは、入力されたパスワードをハッシュ化し、ユーザー名に紐づいて保存されているパスワードハッシュと照合します。

Alpineのrootのようにパスワードハッシュを持たないアカウント（該当フィールドは「*」）の場合、sshdは別のアカウントのハッシュからソルトを借用してログイン試行を処理します。256バイトを超えるパスワードを与えると、muslのcrypt()関数は処理に失敗し、NULLではなく「*」を返します。この値が対象アカウントに保存されている「*」と一致するため、sshdはパスワードが正しいと判断してしまいます。

Alpineで影響を受けるアカウントは、rootのほか、パスワードなしでadduserにより作成された鍵認証専用ユーザー、公式tiny-cloudイメージのAlpineユーザー、musl-nscd経由でディレクトリサービスから取得されるユーザーなどです。

先週、OpenSSHはこの不具合に対するパッチを緊急で公開し、Alpineもユーザーに対し、パッチを適用してsshdをできるだけ早く再起動するよう呼びかけました。

週末には、WatchTowrとPrevidianの両社が、SSHoleが実環境で悪用され始めたと警告しました。WatchTowrによると、現時点で悪用しているのはボットネットと暗号資産マイナーのみです。

Previdianは「当社のセンサーは、CVE-2026-123158を狙った悪用の試行を20件、攻撃元の固有IPアドレス13件、9カ国で観測しました。最初の観測は2026年11月6日、最後の観測は2026年11月8日です」と述べています。

悪用の試行は、GreyNoiseとDefusedも報告しています。

ユーザーには、できるだけ早くOpenSSHバージョン10.6p2へ更新することが推奨されます。緩和策としては、パスワード認証（OpenSSHでは既定で有効）またはSSH自体を無効にする方法があります。あわせて、ログを確認して不審なリクエストがないかを調べ、悪用の試みを見つけることも重要です。