Teknoloji dünyasında yankı uyandıran kritik bir güvenlik açığı, birçok Linux sistemine yetkisiz erişim imkanı sunarak hackerların hedefi haline geldi. Araştırmacılar, yakın zamanda keşfedilen bu açığın halihazırda aktif olarak istismar edildiğini bildiriyor.
sshole olarak adlandırılan bu zafiyet, OpenSSH ile musl adlı kod kütüphanesinin etkileşiminden kaynaklanıyor. Hem bu paketleri kullanan hem de belirli ek gereksinimleri karşılayan Linux sistemleri, saniyeler içinde kimlik doğrulaması olmadan yüksek yetkili hesaplara erişim sağlayan saldırılara maruz kalabiliyor. Güvenlik dünyasına geçen hafta duyurulan sshole, Linux makinelerinin yaygın bir şekilde ele geçirilmesi endişelerini beraberinde getirmişti. Aradan geçen dört gün ise bu endişelerin somutlaşmaya başladığını gösteriyor.
Saldırganlar "Olgun İhlaller" Gerçekleştiriyor
Güvenlik şirketi Greynoise, Pazartesi günü yaptığı açıklamada, Güneydoğu Asya'da kurdukları bal küplerinin (honeypot), GT10 olarak izledikleri bir grup tarafından saldırıya uğradığını belirtti. Greynoise, bu saldırgan grubun sistemlere "olgun ihlaller" gerçekleştirdiğini ve bu ihlallerin gerçek zamanlı saldırı girişimlerini veya başarılı saldırıları tespit etmek için kullanıldığını aktardı. Greynoise daha sonra, GT10 sunucusuna erişim sağlayarak potansiyel diğer kurbanları ve kampanyada kullanılan bazı araçları ortaya çıkardı. Saldırılarda kullanılan bir arka kapının (backdoor) Çince yorumlar içerdiği ve yapay zeka kullanılarak oluşturulduğu anlaşılıyor.
Greynoise'a göre GT10 grubu, makinelerde henüz yüklü olmayan Python3 sürümünü de kuruyor. Bunun nedeni, hackerların TAC Agent adlı arka kapısının çalışması için bu paketin gerekli olması. TAC Agent, kabuk komutları, sistem keşfi ve kalıcılık gibi geniş bir fonksiyon yelpazesini destekliyor. OpenSSH ise bu saldırıları engelleyen bir düzeltme yayınladı.
Güvenlik şirketi watchTowr araştırmacıları Cuma günü yaptıkları açıklamada, kendilerinin de botnetler ve kripto paralarla ilişkili istismar faaliyetleri gördüklerini bildirdi. Güvenlik şirketi Previdian da benzer aktivite raporları sundu. Previdian, şirket sensörlerinin 13 farklı saldırgan IP adresinden, dokuz ülkeden coğrafi olarak belirlenen 20 istismar girişimi gördüğünü belirtti.
CVE-2026-123158 olarak takip edilen bu zafiyet, OpenSSH'in yaygın kullanılan libc kod kütüphanesine bir alternatif olan musl ile birlikte çalıştığı durumlarda ortaya çıkıyor. Ayrıca, OpenSSH'in kullanıcı kimlik doğrulama ve hesap erişim kontrollerini yöneten bir çerçeve olan PAM'ı (pluggable authentication modules) kullanmaması gerekiyor. Ek olarak, SSH yapılandırmalarının şu iki koşulu sağlaması gerekiyor: (1) SHA256 veya SHA512 fonksiyonu ile hashlenmiş bir parola kullanılarak erişilebilen en az bir hesap bulunması ve (2) `/etc/shadow` dosyasındaki parola alanına "*" belirtilerek parola gerektirmeyen hesapların kullanılması. Parola gerektirmeyen yapılandırmalar, belirli hesap türleri için standarttır.
Saldırılar, bir saldırganın parola gerektirmeyen bir hesap için 256 karakterden daha uzun bir parola girdiğinde tetikleniyor. Bu aşama, OpenSSH sunucusunun sağlanan parolayı hashlediği ve `/etc/shadow` dosyasında saklanan hash ile karşılaştırdığı anda gerçekleşiyor. Aşırı uzun parola, musl'ın parola hashleme fonksiyonunun "*" döndürmesine neden olan bir hataya yol açıyor. Saldırılar, "bir dizgenin parola hash'i olarak mı yoksa başka bir şey olarak mı amaçlandığının yanlış yorumlanmasından" faydalanıyor.
Gerekli olan birden fazla koşula rağmen, CVE-2026-123158, özellikle Alpine gibi hafif bir Linux dağıtımı çalıştıran büyük bir makine tabanı için ciddi bir tehdit oluşturuyor. İstismarın kolaylığı, hackerların internete açık milyonlarca SSH sunucusuna kötü amaçlı komutlar yönlendirmesine ve saniyeler içinde potansiyel olarak savunmasız olanları belirlemesine olanak tanıyor. OpenSSH kullanan herkesin acilen güncellemeyi yüklemesi gerekiyor. musl kullananların ise daha fazla araştırma yapması öneriliyor.
Kaynakça: arstechnica.com
