Linux SSH脆弱性が実攻撃に悪用される
原題: Vulnerability that lets hackers SSH into Linux devices is under active exploitation
なぜ重要か
特権アカウントへの認証なしアクセスが数秒で可能という深刻さは、パッチ未適用のLinuxサーバーが大規模に侵害されるリスクを示す。
2026年11月9日、複数のセキュリティ企業がLinuxシステムの重大な脆弱性「*sshole」（CVE-2026-123158）の実攻撃を確認した。OpenSSHとmuslライブラリの相互作用に起因し、未認証の攻撃者が特権アカウントへ数秒でログインできる。Greynoise社は東南アジアのハニーポットへの攻撃を観測し、13の固有IPアドレスから20件以上の攻撃試行が報告されている。
「*sshole」と命名されたこの脆弱性は、OpenSSHがmusl（libcの代替Cライブラリ）と組み合わせて動作する環境で発現する。攻撃が成立するには、PAM（Pluggable Authentication Modules）を使用していないこと、SHA256またはSHA512でハッシュ化されたパスワードアカウントが少なくとも1つ存在すること、/etc/shadowファイルに「*」を指定したパスワードなしアカウントが設定されていることが条件となる。
攻撃の仕組みはシンプルだ。攻撃者がパスワードなしアカウントに対して256文字を超えるパスワードを入力すると、OpenSSHサーバーがそのパスワードをハッシュ化する際にエラーが発生し、muslのパスワードハッシュ関数が「*」を返す。この値が/etc/shadowに格納された「*」と一致することで、認証が通ってしまう。
公表から4日後には早くも実攻撃が確認された。Greynoise社は東南アジアで運用するハニーポットに対し、「GT10」と追跡する攻撃グループによる「成熟した侵入」を観測。同社がGT10のサーバーにアクセスしたところ、他の被害者候補と攻撃ツールの一部が判明した。攻撃に使われるバックドア「TAC Agent」には中国語のコメントが含まれており、AI生成の可能性がある。TAC AgentはPython3で動作し、シェルコマンド実行、システム偵察、永続化など幅広い機能を備える。
watchTowr社もボットネットや暗号通貨絡みの悪用活動を確認。Previdian社は9か国に位置する13の固有IPアドレスから20件の攻撃試行を検出したと報告している。OpenSSHは既に修正パッチをリリースしており、早急な適用が推奨される。