SSHole: OpenSSH-Lücke wird vielfach für Serverübernahmen ausgenutzt

Die kritische Sicherheitslücke in OpenSSH, über die wir kürzlich berichteten, wird inzwischen aktiv für Angriffe auf Linux-Systeme ausgenutzt. Angreifer können sich hier einfach ohne Passwort einloggen.

Schnelle Erfolge

Angreifer können die Schwachstelle SSHole (CVE-2026-123158) verwenden, um Authentifizierungsmechanismen zu umgehen, Zugangsdaten auszuspähen und sich dauerhaft Zugriff auf kompromittierte Server zu verschaffen. Mehrere Sicherheitsunternehmen haben inzwischen erfolgreiche Attacken bestätigt und raten Administratoren dringend zur Installation des verfügbaren Updates.

Die ersten Angriffsversuche wurden bereits parallel zum Bekanntwerden des Bugs am 5. November registriert. An diesem Tag war auch ein Proof-of-Concept-Exploit veröffentlicht worden. Bereits einen Tag später konnten Sicherheitsforscher dann auch erfolgreiche Angriffe beobachten, wie das Magazin BleepingComputer berichtet. Geschützt war also nur, wer direkt den bereitgestellten Patch installierte.


Betroffen von dem Problem sind bestimmte OpenSSH-Installationen auf Linux-Systemen, die auf der Musl-Bibliothek basieren. Dazu gehört insbesondere die schlanke Distribution Alpine Linux, die häufig in Cloud-Umgebungen und Containern zum Einsatz kommt. SSHole ermöglicht es hier unter bestimmten Voraussetzungen, dass man sich über eine SSH-Verbindung von außen bei einem Account ohne Passwortabfrage einloggen kann.

Das Sicherheitsunternehmen GreyNoise registrierte den wohl ersten erfolgreichen Angriff. Insgesamt dokumentierten die Forscher 16 erfolgreiche Angriffsketten, die von sechs verschiedenen IP-Adressen ausgingen. Dabei untersuchten die Angreifer Systeme und Container, fragten Cloud-Metadaten ab, versuchten Passwort-Hashes und SSH-Schlüssel auszulesen und manipulierten autorisierte SSH-Schlüssel für dauerhaften Zugriff.

Einmal sogar Root

In einem Fall erlangte ein Angreifer sogar Root-Rechte und installierte den Python-basierten Schadcode TAC Agent. Dieser ermöglicht unter anderem die Ausführung von Shell-Befehlen sowie Dateiübertragungen. Eine Verbindung zum Steuerungsserver kam allerdings nicht zustande.

Auch andere Sicherheitsunternehmen bestätigen Ausnutzungsversuche. WatchTower beobachtete bereits am 6. November Angriffe im Zusammenhang mit Botnetzen und Cryptomining. Linux-Administratoren sollten OpenSSH deshalb umgehend aktualisieren oder bei betroffenen Systemen die Passwortauthentifizierung für SSH deaktivieren. Zusätzlich empfiehlt sich die Kontrolle auf ungewöhnliche erfolgreiche Anmeldungen, unerlaubte SSH-Schlüssel und verdächtige Autostart-Dienste.

Siehe auch: