แฮกเกอร์เริ่มโจมตีช่องโหว่ SSHole ใน OpenSSH เพื่อข้ามการยืนยันตัวตน

ผู้โจมตีเริ่มใช้ประโยชน์จาก SSHole ซึ่งเป็นช่องโหว่การข้ามผ่านการยืนยันตัวตน (authentication bypass) ระดับความรุนแรงสูงใน OpenSSH ที่เพิ่งได้รับการแก้ไขไปเมื่อเร็วๆ นี้

ช่องโหว่ดังกล่าวถูกติดตามด้วยรหัส CVE-2026-123158 มีสาเหตุมาจากการตีความผิดพลาดว่าสตริงนั้นมีวัตถุประสงค์เพื่อเป็น password hash หรือไม่ ซึ่งอาจเปิดทางให้ผู้โจมตีเข้าถึงบัญชีบางประเภทได้เพียงแค่ส่งรหัสผ่านที่มีความยาวระหว่าง 257 ถึง 1024 ตัวอักษรเข้าไปในระบบ

การโจมตีที่สำเร็จจะช่วยให้แฮกเกอร์เข้าถึงบัญชีระดับ root ได้ ซึ่งตามปกติแล้วบัญชีนี้ไม่ควรอนุญาตให้เข้าถึงด้วยการใช้รหัสผ่าน แต่ใน Linux distribution บางรุ่นที่ใช้ musl libc และปิดใช้งาน Pluggable Authentication Module (PAM) เช่น Alpine, Buildroot, OpenWrt และ Yocto บัญชีเหล่านี้กลับยอมรับรหัสผ่านที่ส่งเข้าไป

เหตุการณ์นี้เกิดขึ้นเนื่องจากเซิร์ฟเวอร์ OpenSSH (sshd) ตรวจสอบรหัสผ่านโดยการทำ hashing เทียบกับค่าที่จัดเก็บไว้ แต่เมื่อบัญชีไม่มี password hash เช่น root บน Alpine (ซึ่งฟิลด์ถูกระบุเป็น '') ระบบจะขอยืม salt จากบัญชีอื่นมาประมวลผล หากรหัสผ่านยาวเกิน 256 ไบต์ ฟังก์ชัน crypt() ของ musl จะทำงานล้มเหลวและส่งค่ากลับเป็น '' แทนที่จะเป็น NULL เมื่อค่านั้นตรงกับที่จัดเก็บไว้ sshd จึงถือว่ารหัสผ่านถูกต้อง

สำหรับระบบ Alpine บัญชีที่ได้รับผลกระทบประกอบด้วย root, ผู้ใช้ที่ใช้ key-only ซึ่งสร้างด้วย adduser โดยไม่มีรหัสผ่าน, ผู้ใช้ Alpine ใน tiny-cloud images อย่างเป็นทางการ และผู้ใช้รายใดก็ตามที่มาจาก directory service ผ่าน musl-nscd

เมื่อสัปดาห์ที่แล้ว OpenSSH ได้เร่งออกแพตช์ เพื่อแก้ไขข้อผิดพลาดนี้ โดยทาง Alpine ได้กระตุ้นให้ผู้ใช้งานติดตั้งแพตช์และเริ่มการทำงาน sshd ใหม่โดยเร็วที่สุด

ในช่วงสุดสัปดาห์ที่ผ่านมา ทั้ง WatchTowr และ Previdian ได้แจ้งเตือนว่าพบแฮกเกอร์เริ่มโจมตี SSHole ในการใช้งานจริงแล้ว โดยข้อมูลจาก WatchTowr ระบุว่าขณะนี้พบเพียงกลุ่ม botnet และนักขุดคริปโตเท่านั้นที่เริ่มใช้งานช่องโหว่นี้

ทางด้าน Previdian ระบุว่าเซ็นเซอร์ตรวจพบความพยายามโจมตี 20 ครั้ง จาก 13 หมายเลข IP ของผู้โจมตีใน 9 ประเทศที่มุ่งเป้าไปที่ CVE-2026-123158 โดยเริ่มพบครั้งแรกเมื่อวันที่ 6 พ.ย. 2026 และล่าสุดเมื่อวันที่ 8 พ.ย. 2026 นอกจากนี้ความพยายามโจมตียังได้รับการยืนยันโดย GreyNoise และ Defused อีกด้วย

ผู้เชี่ยวชาญแนะนำให้ผู้ใช้งานอัปเดตเป็น OpenSSH เวอร์ชัน 10.6p2 โดยเร็วที่สุด สำหรับมาตรการบรรเทาผลกระทบเบื้องต้น สามารถทำได้โดยการปิดการยืนยันตัวตนด้วยรหัสผ่าน หรือปิดการใช้งาน SSH รวมถึงควรตรวจสอบ log เพื่อหาคำขอที่ผิดปกติเพื่อระบุร่องรอยการโจมตี