OpenSSH’teki SSHole Açığı Yayınlandıktan Saatler Sonra Hedef Alındı

OpenSSH’teki SSHole Açığı Yayınlandıktan Saatler Sonra Hedef Alındı

Siber tehdit aktörleri, OpenSSH üzerinde parolası bulunmayan hesaplara doğrudan erişim imkânı tanıyan ve kısa süre önce kamuoyuyla paylaşılan kritik bir güvenlik açığını aktif şekilde istismar etmeye başladı. Güvenlik araştırmacıları, açığın duyurulmasının üzerinden henüz saatler geçmişken bal küpü (honeypot) sistemlerinde yetkisiz root erişimi sağlandığını bildirdi.

CVE-2026-123158 Zafiyetinin Detayları

8.1 CVSS puanına sahip olan ve araştırmacılar tarafından SSHole (veya *sshole) olarak adlandırılan açık, CVE-2026-123158 koduyla takip ediliyor. Sorun; Pluggable Authentication Modules (PAM) desteği devre dışı bırakılmış ve musl C kütüphanesini kullanan Linux dağıtımlarındaki OpenSSH servislerini etkiliyor. Bu konfigürasyon, Alpine Linux’un varsayılan OpenSSH sunucu kurulumunda da yer alıyor.

Güvenlik araştırmacısı Özgün Kültekin tarafından keşfedilen açık, kimliği doğrulanmamış saldırganların herhangi bir kimlik bilgisi veya SSH anahtarı çalmadan, aşırı uzunlukta şifre dizgileri göndererek sisteme sızmasına zemin hazırlıyor. Geliştiriciler bu güvenlik problemini OpenSSH 10.6p2 sürümüyle giderdi.

Açığın Çalışma Mantığı 2016’daki Bir Yamaya Dayanıyor

Söz konusu güvenlik zaafının kökleri, 2016 yılında kullanıcı adı numaralandırma sorununu çözmek için yayınlanan bir yamaya dayanıyor. Belirli çalışma koşullarında OpenSSH’in parola işleme mekanizması, başarısız parola hashleme süreçlerini hatalı şekilde değerlendirerek yıldız işareti (“*”) üretiyor. Bu işaret aynı zamanda sistem seviyesinde parolası devre dışı bırakılmış hesapları tanımlamak için kullanılıyor.

Saldırganlar, 257 ila 1.024 bayt uzunluğunda rastgele parolalar göndererek hash işleminin başarısız olmasını ve yıldız işareti dönmesini sağlıyor. Sunucudaki sshd servisi dönen bu değeri hesaptaki devre dışı parola alanı ile eşleştirerek girişi başarılı kabul ediyor. Ancak bu istismarın gerçekleşebilmesi için hedef sistemde şifre hash alanı yıldız işareti olarak tanımlanmış en az bir hesabın bulunması gerekiyor; geçerli parola hash’ine sahip standart hesaplar bu yöntemle aşılamıyor.

Sahadaki Saldırılar ve Alınması Gereken Önlemler

Siber güvenlik uzmanları, SSHole saldırısının başarılı olması durumunda ele geçirilen hesabın yetkilerine doğrudan erişim sağlandığını ve bunun yatayda ilerleme veya altyapı ihlali gibi daha büyük riskler doğurabileceğini belirtiyor. Dağıtımlarında glibc kullanan yapılar, PAM üzerinden kimlik doğrulayan sistemler ve Dropbear gibi alternatif araçlar bu zafiyetten etkilenmiyor.

Tehdit istihbaratı analizleri, zafiyetin duyurulmasından 9 saatten daha kısa bir süre sonra Alpine Linux çalıştıran bir bal küpüne sızıldığını doğruladı. Japonya kaynaklı bir IP adresinden gerçekleştirilen saldırılarda etkileşimsiz SSH oturumları açılarak keşif komutlarının çalıştırıldığı kaydedildi.

Sistem yöneticilerinin derhal OpenSSH 10.6p2 sürümüne veya dağıtımlarının sağladığı güncel paketlere geçiş yaparak sshd servisini yeniden başlatmaları gerekiyor. Ayrıca /var/log/messages dosyalarında şifresi bulunmayan veya yalnızca anahtarla giriş yapılan hesaplar (root, alpine vb.) için düşen “Accepted password for” kayıtlarının incelenmesi ve olası ihlal belirtilerine karşı yetkili anahtarlar ile yeni açılan kullanıcıların denetlenmesi öneriliyor.