Faille SSH Linux activement exploitée
Original : Vulnerability that lets hackers SSH into Linux devices is under active exploitation
Pourquoi c'est important
Des millions de serveurs Linux pourraient être exposés si le correctif n'est pas appliqué rapidement.
Une vulnérabilité critique baptisée *sshole, affectant OpenSSH combiné à musl sur Linux, est exploitée depuis lundi. Elle permet un accès non authentifié à des comptes privilégiés en quelques secondes, selon Greynoise, watchTowr et Previdian.
Référencée CVE-2026-123158, la faille *sshole touche les systèmes Linux utilisant OpenSSH sans PAM, associé à musl (alternative à libc). Pour être vulnérable, un système doit également disposer d'au moins un compte avec mot de passe haché en SHA256/SHA512 et d'un compte sans mot de passe (champ "*" dans /etc/shadow). L'attaque est simple : envoyer un mot de passe de plus de 256 caractères force musl à retourner "*", ce qui ouvre l'accès à un compte privilégié sans authentification réelle.
Rendue publique jeudi 5 novembre, la vulnérabilité est déjà activement exploitée. Greynoise signale des intrusions sur ses honeypots en Asie du Sud-Est, menées par un groupe baptisé GT10. Ce dernier déploie un backdoor nommé TAC Agent, contenant des commentaires en chinois et apparemment généré par IA, capable d'exécuter des commandes shell, d'assurer la persistance et de mener une reconnaissance système. GT10 installe également Python3 sur les machines cibles, prérequis du backdoor. Previdian recense pour sa part 20 tentatives d'exploitation depuis 13 adresses IP dans 9 pays. WatchTowr évoque des liens avec des botnets et du cryptominage. OpenSSH a publié un correctif.