SSHole: falla de OpenSSH explotada en Linux con musl

Una falla de OpenSSH llamada SSHole permite entrar a ciertas cuentas con cualquier contraseña de más de 256 caracteres, y ya hay intentos de explotación (Fuente: Help Net Security y SecurityWeek, sobre la cobertura de BleepingComputer).

La vulnerabilidad es CVE-2026-123158, de severidad alta. La halló el investigador Özgün Kültekin, de Wakefield, quien reconoció haber usado enjambres de agentes de IA en su investigación. La corrección llegó el 5 de noviembre con OpenSSH 10.6p2.

Cómo funciona

Cuando una cuenta no tiene contraseña, sshd toma el salt de otra. En las bibliotecas musl, la función crypt() falla con contraseñas de más de 256 bytes y devuelve «*», el mismo valor que tienen almacenado cuentas sin contraseña como root en Alpine. Así, sshd deja pasar a quien use una clave larga.

Quiénes están afectados

• Versiones de OpenSSH anteriores a 10.6p2 en Linux con musl y sin verificación de contraseñas por PAM.
• Alpine, OpenWrt, Buildroot, Yocto e imágenes Docker basadas en ellas. En Alpine, afecta a root, a usuarios solo con clave y al usuario de las imágenes tiny-cloud.
• Según el investigador, no están afectados los sistemas con glibc (Debian, Ubuntu, Fedora), los que usan PAM, Dropbear ni OpenBSD.

Explotación y qué hacer

Previdian detectó el primer intento menos de nueve horas después de publicarse el CVE y confirmó acceso root en un honeypot. SecurityWeek habla de 20 intentos desde 13 IP en 9 países entre el 6 y el 8 de noviembre, y WatchTowr dice que por ahora solo botnets y mineros de criptomonedas lo usaron.

• Actualizar a OpenSSH 10.6p2 y reiniciar sshd, porque el binario anterior sigue activo hasta entonces.
• Como medida temporal, desactivar la autenticación por contraseña o SSH.
• Revisar los registros en busca de «Accepted password for» en cuentas sin contraseña, además de doas, usuarios nuevos y authorized_keys.

Qué no está confirmado

Los datos describen intentos, no compromisos reales a gran escala, y no se sabe cuántos sistemas siguen vulnerables. Los exploits de prueba publicados en GitHub no están verificados y podrían contener malware. Las fuentes no coinciden en si CISA incluyó la falla en su catálogo. El artículo de BleepingComputer no pudo leerse, y esta nota usa esas dos coberturas.

Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.