Una vulnerabilidad en OpenSSH que permite a atacantes acceder por SSH a dispositivos Linux sin conocer la contraseña ya está siendo explotada activamente en internet, confirmaron este lunes investigadores de seguridad. La falla, bautizada como *sshole y registrada como CVE-2026-123158, afecta a los sistemas que combinan OpenSSH con la biblioteca musl, una alternativa ligera a la librería estándar de C, muy popular en distribuciones como Alpine Linux.
El fallo surge de la interacción entre OpenSSH y musl, y solo se activa cuando se cumplen tres condiciones: que OpenSSH no use PAM, que exista al menos una cuenta cuya contraseña esté cifrada con SHA256 o SHA512, y que el sistema tenga configuradas cuentas sin contraseña, marcadas con un asterisco (*) en el campo de contraseña del archivo /etc/shadow. A partir de ahí, basta con que el atacante envíe una contraseña de más de 256 caracteres a una de esas cuentas sin contraseña: el exceso de caracteres genera un error que hace que la función de cifrado de musl devuelva “*” como resultado, y el servidor lo interpreta como si la contraseña proporcionada fuera la correcta. En la práctica, la puerta queda abierta.
*sshole se hizo pública el jueves 5 de noviembre y OpenSSH ya publicó una corrección, pero los atacantes se movieron rápido. El 7 de noviembre, los honeypots de GreyNoise en el sureste de Asia registraron los primeros intentos exitosos de explotación por parte de un grupo al que la firma designó como GT10, que estaría realizando “intrusiones maduras”. Según GreyNoise, un servidor del grupo reveló posibles víctimas y las herramientas que utiliza para atacarlas, incluido un backdoor al que se le dio seguimiento como TAC Agent, capaz de ejecutar comandos, realizar reconocimiento y mantener persistencia en el sistema, además de instalar Python3 si no está presente. El código contiene comentarios en chino y parece haber sido generado por inteligencia artificial.
Otros investigadores reportaron actividad similar: watchTowr vinculó el viernes la explotación con botnets y operaciones de criptominería, mientras que Previdian detectó 20 intentos de explotación desde 13 direcciones IP únicas ubicadas en nueve países. Con millones de servidores SSH expuestos a internet, el alcance real de los ataques podría ser mucho mayor.
La gravedad del caso quedó confirmada este lunes, cuando la agencia estadounidense de ciberseguridad CISA sumó la vulnerabilidad a su catálogo de vulnerabilidades explotadas conocidas (KEV), lo que obliga a todas las agencias civiles federales de Estados Unidos a corregirla en un plazo de 14 días. El mensaje es claro: quien administre servidores Linux con OpenSSH debe actualizar cuanto antes y revisar las cuentas sin contraseña, en un panorama de ciberseguridad cada vez más delicado.
Para más noticias de tecnología, cultura geek, gadgets y entretenimiento, visita: GeekAndLife.com.mx. Descubre más contenido en nuestras redes: Instagram | YouTube | TikTok
Fuente: Ars Technica