Linux SSH 치명적 취약점 실제 공격 진행 중
원제: Vulnerability that lets hackers SSH into Linux devices is under active exploitation
왜 중요한가
musl 기반 Linux 환경은 임베디드·컨테이너 시스템에 광범위하게 사용되어 패치 지연 시 피해 범위가 급격히 확대될 수 있다.
2026년 11월 9일, '*sshole'로 명명된 OpenSSH 취약점(CVE-2026-123158)이 공개 4일 만에 실제 공격에 악용되고 있다고 보안 업체 Greynoise, watchTowr, Previdian이 보고했다. 13개 고유 IP에서 20건의 공격 시도가 확인됐으며, 공격 그룹 GT10은 중국어 주석이 포함된 AI 생성 백도어를 사용하고 있다.
OpenSSH와 musl 라이브러리 간 상호작용에서 발생하는 이 취약점은, 인증 없이 고권한 계정에 수 초 만에 접근할 수 있게 한다. 공격이 성립하려면 시스템이 PAM을 사용하지 않고, /etc/shadow 파일에서 '*'로 설정된 비밀번호 없는 계정과 SHA256 또는 SHA512 해시를 사용하는 계정이 동시에 존재해야 한다.
공격 방식은 비밀번호 없는 계정에 256자 이상의 패스워드를 입력하는 것이다. OpenSSH가 이를 해싱할 때 오류가 발생해 musl의 해싱 함수가 '*'를 반환하고, 이를 비밀번호 없는 계정의 해시값과 일치하는 것으로 잘못 처리한다.
Greynoise는 동남아시아에 운영 중인 허니팟이 GT10 그룹의 공격을 받았다고 밝혔다. 이 그룹이 사용하는 백도어 'TAC Agent'는 셸 명령 실행, 시스템 정찰, 지속성 유지 기능을 갖추고 있으며, Python3가 없는 시스템에 별도로 설치까지 한다. Greynoise는 GT10 서버에 접근해 추가 피해 대상과 공격 도구 일부를 확인했다.
watchTowr는 봇넷 및 암호화폐 관련 공격 활동을 별도로 포착했으며, Previdian은 9개국 13개 IP에서 20건의 공격 시도를 감지했다. OpenSSH는 이미 패치를 배포했으며, 패치 적용이 현재로서 가장 확실한 대응책이다.