O vulnerabilitate Linux este deja exploatată de hackeri. Ce trebuie să știe administratorii de servere

O problemă de securitate descoperită recent le poate permite hackerilor să intre în anumite sisteme Linux fără să cunoască parola contului vizat. Atacurile au început deja, iar mai multe companii specializate în securitate informatică au confirmat că vulnerabilitatea este folosită în operațiuni reale.

Problema, identificată prin codul CVE-2026-123158, afectează modul în care două componente software, OpenSSH și musl, lucrează împreună. În anumite configurații, o eroare în procesul de verificare a parolei poate permite accesul neautorizat la conturi cu drepturi ridicate.

Vulnerabilitatea a devenit publică joia trecută și a atras rapid atenția cercetătorilor. Există temeri că numărul sistemelor afectate ar putea fi mare, mai ales pentru că serverele conectate direct la internet pot fi verificate automat de atacatori.

Primele atacuri au fost confirmate de cercetătorii în securitate

Compania Greynoise a anunțat că serverele sale de monitorizare din Asia de Sud-Est au fost vizate de un grup de hackeri identificat sub numele GT10. Aceste servere sunt folosite pentru a observa tentativele de atac și pentru a analiza metodele prin care infractorii informatici încearcă să obțină acces.

Cercetătorii au descris activitatea drept o serie de intruziuni complexe. Mai mult, echipa Greynoise a reușit să acceseze unul dintre serverele folosite de atacatori și a găsit indicii despre posibile alte victime, dar și despre instrumentele utilizate în campanie.

Printre acestea se află un program de acces la distanță cunoscut sub numele TAC Agent. Acesta le permite hackerilor să execute comenzi, să adune informații despre sistemele compromise și să păstreze accesul după pătrunderea inițială.

Programul conține comentarii în limba chineză și pare să fi fost realizat cu ajutorul inteligenței artificiale. Greynoise a mai observat că atacatorii instalează Python 3 pe sistemele care nu au deja acest pachet, deoarece este necesar pentru funcționarea programului folosit în atacuri, scrie Ars Technica.

Vezi și:

OpenAI a creat un AI atât de periculos încât l-a clasificat la nivelul maxim de risc. GPT-6 Cyber poate descoperi breșe și construi atacuri funcționale

Hackerii au primit o armă devastatoare: inteligența artificială. Peste 80% dintre atacurile de manipulare online analizate implică phishing asistat de AI. Avertismentul experților

Ce sisteme Linux sunt expuse riscului

Vulnerabilitatea apare atunci când OpenSSH funcționează împreună cu musl, o bibliotecă software folosită ca alternativă la libc, componentă prezentă în numeroase sisteme Linux.

Nu toate dispozitivele care folosesc Linux sunt afectate. Pentru ca atacul să funcționeze, trebuie îndeplinite mai multe condiții. Sistemul trebuie să utilizeze atât OpenSSH, cât și musl, iar serviciul de autentificare SSH să nu folosească PAM, un mecanism care gestionează verificarea identității și accesul la conturi.

Configurația trebuie să includă și anumite tipuri de conturi. Mai exact, este necesar să existe cel puțin un cont protejat cu o parolă criptată prin SHA256 sau SHA512, dar și conturi fără parolă, marcate cu un asterisc în fișierul de configurare al sistemului.

Printre distribuțiile care merită verificate cu atenție se află Alpine Linux, cunoscută pentru dimensiunile reduse și utilizarea eficientă a resurselor. Cercetătorii atrag atenția că prezența mai multor condiții tehnice nu înseamnă că vulnerabilitatea poate fi tratată cu ușurință.

Cum reușesc hackerii să treacă de verificarea parolei

Metoda de atac se bazează pe introducerea unei parole foarte lungi, care depășește 256 de caractere. Hackerul încearcă să se autentifice într-un cont configurat fără parolă, iar serverul începe procesul obișnuit de verificare.

În acel moment apare eroarea. OpenSSH procesează parola introdusă și încearcă să o compare cu informațiile salvate în sistem. Din cauza lungimii neobișnuite a textului, funcția de verificare din musl returnează un asterisc în locul rezultatului așteptat.

OpenSSH interpretează greșit acest răspuns și poate permite accesul fără o autentificare validă. Red Hat a explicat că problema pornește de la modul în care programul identifică un șir de caractere care ar trebui să reprezinte o parolă criptată.

Practic, cele două componente nu interpretează în același fel rezultatul verificării. Această neconcordanță le oferă atacatorilor posibilitatea de a trece de mecanismul de autentificare în sistemele configurate în condițiile descrise.

Ce măsuri trebuie luate pentru protejarea serverelor

Greynoise nu este singura companie care a observat atacuri. Cercetătorii de la watchTowr au raportat activități de exploatare asociate unor rețele de tip botnet și unor operațiuni legate de criptomonede.

Și firma de securitate Previdian a identificat tentative similare. Senzorii săi au înregistrat 20 de încercări de exploatare, provenite de la 13 adrese IP diferite, localizate în nouă țări.

OpenSSH a publicat deja o actualizare care corectează problema și împiedică folosirea acestei metode de atac. Administratorii serverelor ar trebui să instaleze cât mai repede versiunea actualizată și să verifice dacă sistemele lor folosesc biblioteca musl.

Momente de panică la un liceu din Craiova. Sute de elevi și profesori, evacuați după un incident la o conductă de gaze