La sécurité de Linux repose en grande partie sur la confiance que l’on accorde à ses composants fondamentaux. OpenSSH, en particulier, est devenu un pilier de l’administration des systèmes, permettant de gérer des machines à distance de manière sécurisée.

Et pourtant, une nouvelle vulnérabilité vient rappeler qu'une chaîne de sécurité n'est jamais plus solide que son maillon le plus fragile. Baptisée *sshole et référencée sous CVE-2026-123158, elle fait désormais l'objet d'une exploitation active.

Découverte publiquement quelques jours seulement avant les premières confirmations d'attaques, elle permet, dans certaines configurations Linux, d'obtenir un accès non authentifié à des comptes privilégiés. Un attaquant peut potentiellement prendre le contrôle d'une machine sans disposer d'identifiants légitimes. Une perspective particulièrement inquiétante pour les serveurs SSH exposés sur Internet.

Une faille née de l'interaction entre deux composants

Plusieurs conditions doivent être réunies pour que la faille soit exploitable. Le système doit notamment utiliser OpenSSH avec musl, sans le mécanisme d'authentification PAM. Sa configuration doit également comporter certains comptes dont les mots de passe sont associés à des empreintes SHA-256 ou SHA-512, ainsi que d'autres sans mot de passe, identifiés par un astérisque dans le fichier /etc/shadow.

L'exploitation repose sur un comportement inattendu lors du traitement d'un mot de passe excessivement long, dépassant 256 caractères. Une erreur dans la fonction de hachage de musl provoque alors le renvoi d'une valeur particulière, interprétée de façon incorrecte par OpenSSH. Cette confusion permet de contourner le mécanisme d'authentification.

Des attaques déjà observées sur le terrain

Le plus préoccupant reste évidemment le passage de la théorie à la pratique. Selon la société de cybersécurité GreyNoise, des honeypots situés en Asie du Sud-Est ont été ciblés par un groupe identifié sous le nom GT10. Les chercheurs parlent d'intrusions relativement élaborées, et pas simplement de tentatives automatisées sans lendemain.

Les attaquants déploient notamment une porte dérobée baptisée TAC Agent. Celle-ci permet d'exécuter des commandes système, de collecter des informations sur la machine compromise et de maintenir un accès persistant. Le groupe installe également Python 3 lorsque celui-ci est absent, afin de pouvoir exécuter son outil malveillant.

D'autres acteurs de la cybersécurité, notamment watchTowr et Previdian, ont également signalé des activités d'exploitation. Cette dernière entreprise a recensé vingt tentatives provenant de treize adresses IP réparties dans neuf pays.

Alpine Linux particulièrement concerné

Même si les conditions d'exploitation sont relativement spécifiques, le risque reste loin d'être négligeable. Les distributions utilisant musl, notamment Alpine Linux, méritent une attention particulière. Cette distribution, appréciée pour sa légèreté et fréquemment utilisée dans les conteneurs, pourrait exposer une surface d'attaque importante.

OpenSSH a publié un correctif et son installation doit être considérée comme prioritaire. Les administrateurs utilisant musl devraient également vérifier leurs configurations d'authentification et identifier les éventuels systèmes vulnérables.

La faille *sshole est un nouvel avertissement. Même les infrastructures Linux les plus minimalistes ne sont pas à l'abri. Et lorsque des attaquants passent de la découverte d'une vulnérabilité à son exploitation réelle en quelques jours, le temps consacré à la mise à jour est une question de survie opérationnelle.