SSH su Linux, la falla CVE-2026-123158 è già sfruttata: cosa aggiornare
Chi ha un NAS, un router con firmware Linux o un piccolo server in casa lo sa: gli aggiornamenti di sicurezza sono la parte noiosa. Questa volta conviene aprirli subito. La falla registrata come CVE-2026-123158, ribattezzata *sshole dai ricercatori, permette di entrare in account privilegiati di Linux senza credenziali e in pochi secondi. Da lunedì 9 novembre ci sono prove di sfruttamento reale.
Cos’è la falla e perché nasce da un incrocio raro
Il problema non sta in OpenSSH da solo, ma nel modo in cui parla con musl, una libreria C alternativa a glibc usata da distribuzioni leggere come Alpine. Quando un utente digita una password più lunga di 256 caratteri su un account senza password, la funzione di hashing di musl restituisce un asterisco. OpenSSH legge quel carattere come un hash valido e concede l’accesso.
Quando il tuo dispositivo è davvero esposto
Devono valere tutte insieme: un server Debian o Ubuntu standard non le soddisfa quasi mai.
- OpenSSH compilato contro musl invece che glibc
- autenticazione PAM disattivata
- almeno un account con password hash SHA256 o SHA512
- almeno un account senza password, con l’asterisco nel campo corrispondente di /etc/shadow
Il caso più diffuso è Alpine Linux e ciò che ci gira sopra: container Docker minimali, immagini di app self-hosted, alcuni firmware di apparati di rete. Se il tuo NAS espone SSH e dentro gira Alpine, il rischio è concreto.
Android non c’entra. I telefoni non hanno un server OpenSSH acceso e non usano musl in quel contesto, quindi la falla non riguarda lo smartphone che hai in tasca.
TIP Per capire quale libreria usa il tuo server, lancia ldd /usr/sbin/sshd | grep musl. Se compare un percorso con musl, controlla anche cat /etc/os-release e la presenza di PAM. Su Alpine il comando rapido è apk info musl. Se non esce nulla, il rischio scende molto, ma l’aggiornamento resta consigliato.
Chi lo sta sfruttando adesso
La società GreyNoise ha visto i suoi honeypot nel Sud-Est asiatico sotto attacco da un gruppo che segue con il nome GT10. Non sono tentativi casuali: parla di intrusioni mature, con accesso a un server degli attaccanti.
Il backdoor usato nelle campagne si chiama TAC Agent e contiene commenti in cinese, con segni di generazione tramite intelligenza artificiale. Supporta comandi shell, ricognizione del sistema e persistenza. Sui sistemi senza Python3 gli attaccanti lo installano prima di procedere.
Anche watchTowr ha confermato attività legata a botnet e criptovalute, mentre Previdian ha registrato 20 tentativi da 13 indirizzi IP in nove paesi.
Cosa fare, in ordine
- Aggiorna OpenSSH dal canale della tua distribuzione: su Alpine basta
apk upgrade, su Debian e Ubuntu il solitoapt update && apt upgrade. - Riavvia il servizio dopo l’aggiornamento, altrimenti in memoria resta il processo vecchio.
- Controlla i container: le immagini Docker vecchie non si aggiornano da sole e spesso sono quelle con musl.
- Riduci l’esposizione: se SSH non ti serve da fuori, chiudilo sul router, altrimenti limitato a una VPN.
- Guarda i log: connessioni riuscite da IP sconosciuti, python3 installato di recente, processi che non riconosci.
Cosa non cambia
Non è un allarme generalizzato. Un telefono Android, un PC aggiornato e un server Debian con PAM attivo non rientrano nelle condizioni. Il punto è la rapidità: ogni giorno in più con la porta aperta aumenta la probabilità di finire in una lista di bersagli.
Domande frequenti
Devo aggiornare se uso Ubuntu o Debian?
Sì, anche se il rischio concreto è basso. Quelle distribuzioni usano glibc e PAM, quindi le condizioni della falla di norma non si verificano. L’aggiornamento resta la prassi corretta.
Il mio NAS è a rischio?
Dipende da cosa gira dentro. Molti NAS usano glibc e non sono vulnerabili a questa falla. Alcuni firmware recenti però si appoggiano a container Alpine, quindi controlla la versione di OpenSSH e la libreria C.
Come capisco se sono stato compromesso?
Guarda i log di autenticazione, le connessioni SSH riuscite e i processi attivi. Segnali utili sono l’installazione improvvisa di python3, file eseguibili in directory temporanee e sessioni aperte da indirizzi mai visti.
La falla riguarda anche gli smartphone Android?
No. Android non espone un server OpenSSH di default e non usa musl per l’autenticazione di sistema. Il rischio riguarda server, container e apparati di rete.
Posso evitare l’aggiornamento disattivando SSH?
Sì, se non ti serve accesso remoto. Disattivare il servizio o chiudere la porta sul router elimina la superficie di attacco. Se invece SSH ti serve, l’aggiornamento è l’unica strada sensata.
La cronaca di un attacco SSH analogo del 2025 mostra quanto in fretta queste campagne passino da un bug all’altro. Il caso della backdoor nell’estensione Claude su Cursor è la stessa lezione su un altro piano, mentre la guida su iOS 27.2.1 e macOS 27.2.1 spiega cosa controllare dopo una patch.