OpenSSH'te SSHole Açığı İfşasından Saatler İçinde Sömürüldü

Uzmanlar, son günlerde ifşa edilen ve OpenSSH üzerinden parolasız hesaplara izinsiz erişime kapı açan güvenlik zafiyetiyle ilgili kritik bir gelişmeyi rapor etti. CVE-2026-123158 numarasıyla takip edilen ve güvenlik camiasında SSHole kod adıyla anılan bu açık, müdahale gerektiren yüksek aciliyet taşıyor. Tehdit aktörleri, açıklanan güvenlik boşluğunu değerlendirmek için harekete geçtikten kısa süre sonra bir arı sistem (honeypot) üzerinde kök erişimi sağlamayı başardı. Bu süreçte 10.6p2 sürümüyle düzeltilen zafiyet, özellikle musl C kitaplığı kullanan Linux sistemlerde faaliyet gösteren ve PAM (Pluggable Authentication Modules) devre dışı bırakılmış OpenSSH sunucularını hedef alıyor. Bu durum, Alpine Linux'un varsayılan OpenSSH sunucu yapılandırmasını doğrudan etkiliyor.

Açığın Çalışma Prensibi ve Etki Kapsamı​

Güvenlik araştırmacısı Ozgun Kultekin tarafından keşfedilen bu sorun, 2016 yılında kullanıcı adı keşfini önlemek için hazırlanan bir yamadan kaynaklanan temel bir yapısal hataya dayanıyor. Belirli koşullar altında OpenSSH'in parola işleme davranışı, başarısız bir parola karma işlemi sonucu elde edilen değeri başarılı bir kimlik doğrulama olarak yanlış yorumluyor. Bir saldırgan, 257 ile 1.024 bayt arasında değişen aşırı boyutlu bir şifre göndererek bu hata durumunu tetikleyebiliyor. Karşı sistem, bu işlemi tamamladığında hesapta sistem düzeyinde parolasız olarak tanımlanan hesaplarda kullanılan yıldırt işaretiyle aynı değeri üretiyor. Sonuç olarak, saldırgan kendi seçtiği rastgele bir parolayı kullanarak bu hesaplara giriş yapabiliyor.

Ağ Geçitleri ve Saldırgan Eylemi​

Bu açıklığın başarıyla istismar edilebilmesi için sistemde en az bir hesabın parola alanının yıldırt işareti ile dolu olması gerekiyor. Bu durum, geçerli parola karmalarına sahip hesaplar için bir kimlik doğrulama atlaması sunmuyor. Safe Security'den yapılan açıklamaya göre başarılı bir SSHole saldırısı, yalnızca ele geçirilen hesabın mevcut izinleriyle eşdeğer erişim sağlıyor. Ancak işletmeler açısından bu, dağıtım kimlik bilgileri, uygulama sırları ve bağlı altyapılara erişim anlamına gelebiliyor. Bu durum, sınıra yayılım ve hizmet kesintisi riskini beraberinde getiriyor. Zafiyet, Dropbear, glibc tabanlı Linux dağıtımları, Linux dışı sistemler ve PAM üzerinden parola kontrolü yapan sistemleri etkilemiyor.
Telemetri verileri, ilk istismar denemesinin CVE duyurusundan yaklaşık dokuz saat sonra gerçekleştiğini ortaya koydu. Japonya'da konumlandırılan 89.116.89[.]18 IP adresinden gelen sekiz ayrı istismar denemesi tespit edildi. Bu IP, aşırı boyutlu parolalarla kimlik doğrulamayı atlayarak, etkileşimsiz SSH oturumları üzerinden id, uname ve hostname gibi keşif komutlarını çalıştırdığı belirlendi.

Güvenlik Uyarıları ve Alınması Gereken Önlemler​

Etkilenen kullanıcılara OpenSSH 10.6p2 sürümünü veya dağıtımları tarafından yamalanmış paketleri kurmaları ve ardından sshd hizmetinin yeniden başlatılması öneriliyor. Kurumlar ayrıca, parola kabul etmemesi gereken hesaplardan gelen "Accepted password for" log kayıtlarını titizlikle incelemeli. Yapılan uyarıya göre, maruz kalan makineler üzerinde /var/log/messages dosyasındaki sshd satırları, doas kullanımı ve son zamanlarda oluşturulan kullanıcılar, dosyalar ve yetkili anahtarlar kontrol edilmeli. Bir oturumun kesin olarak dışlanması mümkün değilse, ilgili makinenin ele geçirildiği varsayılmalı.

Sıkça Sorulan Sorular​

SSHole açığını istismar etmek için hangi sistemlerin hedef alınması gerekiyor?​

Bu zafiyetin istismar edilebilmesi için hedef sistemin musl C kitaplığı kullanan bir Linux dağıtımı olması, OpenSSH üzerinde PAM (Pluggable Authentication Modules) devre dışı bırakılmış olması ve en az bir hesabın parola alanının yıldırt işareti ile dolu olması gerekiyor. Bu özelliklere sahip dağıtımların önde gelen örneği Alpine Linux olarak gösteriliyor.

CVE-2026-123158 açığının CVSS skoru nedir ve kim tarafından keşfedildi?​

Bu güvenlik zafiyeti, 8,1 şeklinde bir CVSS skoruna sahip olup OpenSSH topluluğundaki Ozgun Kultekin adlı güvenlik araştırmacısı tarafından keşfedildi. Sorunun kökeninde 2016 tarihli CVE-2016-6210 yamasından kaynaklanan hatalı bir parola işleme davranışı yatıyor.

Alpine Linux kullanıcısı, sistemin ele geçirilip ele geçirilmediğini nasıl anlayabilir?​

Kullanıcılar, /var/log/messages dosyasında parola gerektirmemesi gereken hesaplara ait "Accepted password for" şeklinde başlayan sshd log satırlarını incelemeli. Bu logları içeren sistemlerde doas kullanımı, son zamanlarda oluşturulan kullanıcılar, dosyalar ve yetkili anahtarlar (authorized keys) detaylıca denetlenmelidir. Eğer bir oturum kaynağı belirlenemiyorsa, cihazın kesin olarak ele geçirilmiş sayılması ve izolasyonu tavsiye ediliyor.

Tespit edilen istismar denemelerinin kaynağı ve sıklığı hakkında neler biliniyor?​

Telemetri verileri, ilk istismar denemesinin zafiyet açıklamasından dokuz saat içinde yapıldığını ortaya koyuyor. Japonya'da konumlandırılan 89.116.89[.]18 IP adresinden toplam sekiz deneme izlendi. Bu IP, 257 ila 1.024 bayt arasında değişen aşırı boyutlu parolalar ile kimlik doğrulamayı aşarak keşif komutlarını çalıştırdı.

SSHole açığı, geçerli parola kullanan hesaplara veya Dropbeat kullanıcılara etki ediyor mu?​

Hayır. Bu zafiyet, sistemde geçerli parola karmalarına sahip hesaplara erişim sağlamıyor. Ayrıca zafiyet, glibc tabanlı Linux dağıtımlarını, Linux dışı sistemleri, PAM üzerinden parola kontrolü yapan yapılandırmaları ve Dropbear kullanan ortamları etkilemiyor. Etki alanı yalnızca musl C kitaplığı kullanan, PAM'siz OpenSSH kurulumlarıyla sınırlı.