veilletech.fr
10 nov. Feed du jour
#04 SÉCURITÉ Faille

SSHole : exploitée, la faille OpenSSH entre au KEV

Ce qui était un correctif à planifier est devenu un incident possible.

La faille SSHole d'OpenSSH, présentée le 6 novembre comme sans exploitation connue, a désormais un identifiant, CVE-2026-123158, un score CVSS de 8,1 et des attaques réelles : 20 tentatives depuis 13 adresses au 8 novembre. CISA l'a ajoutée le 9 novembre à son catalogue des vulnérabilités exploitées, avec trois autres failles dont une sur GPUStack.

2 min de lectureintermédiairevidéo 1:21
Partager
Sommaire5 sections
  1. Ce qui change depuis le 6 novembre
  2. Les attaques
  3. Le catalogue KEV du 9 novembre
  4. Comment s'y prendre
  5. À retenir

Ce qui change depuis le 6 novembre

La fiche du 6 novembre sur OpenSSH 10.6p2 disait : aucune attaque rapportée, aucun CVE attribué. Les deux sont faux aujourd'hui. La faille, surnommée SSHole, porte le numéro CVE-2026-123158 et un score CVSS de 8,1. Sur un système musl sans PAM, dont la configuration par défaut d'Alpine, un mot de passe de 257 à 1 024 octets ouvre un compte dont le mot de passe est désactivé (* dans /etc/shadow). Le mécanisme est détaillé dans la fiche du 6 novembre.

Les attaques

La société Previdian a vu la première tentative moins de neuf heures après la publication du CVE, et a confirmé un accès root sur un honeypot Alpine. Depuis l'adresse 89.116.89.18, géolocalisée au Japon, huit tentatives avec des mots de passe surdimensionnés, suivies de commandes de reconnaissance (id, uname, hostname) dans des sessions SSH non interactives. Au 8 novembre, d'après The Hacker News : 20 tentatives depuis 13 adresses au Danemark, en Iran, au Japon, aux Pays-Bas, en Norvège, à Singapour, en Suède, en Suisse et aux États-Unis.

Le catalogue KEV du 9 novembre

CISA a ajouté quatre failles exploitées à son catalogue Known Exploited Vulnerabilities :

La directive BOD 26-04 oblige les agences civiles fédérales américaines à traiter en priorité les CVE du KEV sur les actifs exposés publiquement qui donnent le contrôle total après exploitation. Elle ne vous concerne pas juridiquement ; CISA invite toutes les organisations à s'en inspirer.

Comment s'y prendre

  1. Installez OpenSSH 10.6p2 ou le paquet corrigé de votre distribution, puis redémarrez sshd : Alpine 3.21.10, 3.22.8, 3.23.8 et 3.24.4 embarquent déjà le correctif.
  2. À défaut, PasswordAuthentication no, après avoir vérifié qu'une connexion par clé fonctionne.
  3. Cherchez dans /var/log/messages des lignes Accepted password for sur un compte qui ne devrait pas avoir de mot de passe. Si vous ne pouvez pas exclure une connexion, traitez la machine comme compromise (avis d'Alpine).

Sont hors de cause : glibc, PAM, Dropbear, les systèmes non Linux. Si vous hébergez des modèles avec GPUStack, cherchez dans l'avis de l'éditeur la version qui corrige CVE-2026-102895 : l'alerte de CISA ne la donne pas.

Source : alerte CISA du 9 novembre, en anglais. Les chiffres d'exploitation viennent de The Hacker News, qui cite Previdian et l'avis d'Alpine.