Lỗ hổng OpenSSH cho phép đăng nhập bằng mật khẩu trống trên một số cấu hình Linux

Các nhóm đe dọa đã bắt đầu tích cực khai thác một lỗ hổng nghiêm trọng trong OpenSSH, cho phép xác thực vào các tài khoản người dùng được cấu hình mà không cần mật khẩu. Lỗ hổng này, được định danh là CVE-2026-123158 và có biệt danh SSHole, nhắm mục tiêu cụ thể vào các bản phân phối Linux sử dụng thư viện C musl với Pluggable Authentication Modules (PAM) bị vô hiệu hóa. Tính đến ngày 9 tháng 11 năm 2026, các nhà nghiên cứu bảo mật đã ghi nhận hai mươi nỗ lực khai thác xuất phát từ mười ba địa chỉ IP duy nhất ở nhiều quốc gia.

Chuyện gì đã xảy ra

Lỗ hổng ảnh hưởng đến các hệ thống chạy OpenSSH trên thư viện C musl, nổi bật nhất là cấu hình mặc định tìm thấy trong Alpine Linux. Khi Pluggable Authentication Modules (PAM) bị vô hiệu hóa, logic xác thực không thực thi đúng cách các yêu cầu về mật khẩu đối với các trường dữ liệu trống. Sự sơ suất này cho phép kẻ tấn công đăng nhập vào bất kỳ tài khoản nào không được đặt mật khẩu, qua đó vượt qua các kiểm tra thông tin đăng nhập tiêu chuẩn.

Mặc dù vấn đề này đòi hỏi một cấu hình hệ thống cụ thể, nó vẫn gây ra rủi ro đáng kể cho các môi trường chứa ứng dụng (containerized) và các triển khai máy chủ nhẹ thường xuyên phụ thuộc vào Alpine Linux. Hệ thống chấm điểm lỗ hổng phổ biến (CVSS) đánh giá lỗ hổng này ở mức 8.1, chỉ ra mức độ nghiêm trọng cao. Việc khai thác không yêu cầu các công cụ phức tạp; kẻ tấn công chỉ đơn giản thử đăng nhập với thông tin đăng nhập trống, lợi dụng cấu hình sai để giành quyền truy cập trái phép.

Ngoài vấn đề cụ thể của OpenSSH này, tuần qua cũng chứng kiến một số sự cố bảo mật đáng chú ý khác. Một phiên bản trojan hóa của daemon máy chủ Control Web Panel, cwpsrv, đã được phân phối để cài đặt một backdoor ẩn gọi là CWPdoor. Ngoài ra, một lỗ hổng zero-day trong các switch mạng Zyxel GS1900 đã bị khai thác để xâm phạm gần một nghìn thiết bị trên toàn thế giới, cho phép kẻ tấn công đánh cắp thông tin đăng nhập và triển khai rootkit.

Chi tiết chính

• ID lỗ hổng: CVE-2026-123158, còn được biết đến với tên SSHole.
• Hệ thống bị ảnh hưởng: Các hệ thống Linux sử dụng OpenSSH với thư viện C musl và PAM bị vô hiệu hóa, bao gồm cả các bản cài đặt Alpine Linux mặc định.
• Tác động: Cho phép đăng nhập từ xa vào các tài khoản người dùng không được đặt mật khẩu.
• Mức độ nghiêm trọng: Điểm CVSS là 8.1.
• Mức độ hoạt động: Hai mươi nỗ lực khai thác được phát hiện từ mười ba địa chỉ IP duy nhất tính đến ngày 9 tháng 11 năm 2026.
• Nguồn gốc: Các nỗ lực xuất phát từ Đan Mạch, Iran, Nhật Bản, Hà Lan, Na Uy, Singapore, Thụy Điển, Thụy Sĩ và Hoa Kỳ.

Bối cảnh

OpenSSH là giao thức shell bảo mật chuẩn được hầu hết các hệ điều hành Linux và Unix-like sử dụng để quản trị từ xa. Nó phụ thuộc vào các thư viện hệ thống cơ sở cho các hoạt động mã hóa và xử lý xác thực. Thư viện C musl là một thư viện chuẩn C nhẹ, nhanh và tuân thủ tiêu chuẩn, thường được lựa chọn cho các hệ thống nhúng và container nhờ kích thước nhỏ gọn. Alpine Linux, một bản phân phối phổ biến cho các Docker container, sử dụng musl theo mặc định thay vì glibc phổ biến hơn.

Pluggable Authentication Modules (PAM) cung cấp một cơ chế linh hoạt để xác thực người dùng. Khi PAM được bật, nó xử lý các chính sách xác thực phức tạp, bao gồm độ mạnh mật khẩu và thời hạn sử dụng. Tuy nhiên, một số cấu hình tối giản tắt PAM để giảm bớt các phụ thuộc hoặc cải thiện hiệu suất. Trong những trường hợp này, OpenSSH xử lý xác thực trực tiếp. Lỗ hổng SSHole phát sinh từ một lỗi logic trong đường dẫn xử lý trực tiếp này khi tương tác với musl, nơi các chuỗi mật khẩu trống không bị từ chối đúng cách đối với các tài khoản lẽ ra phải yêu cầu thông tin đăng nhập.

Tại sao điều này quan trọng

Đối với các đội ngũ quản lý hạ tầng tự lưu trữ (self-hosted), lỗ hổng này làm nổi bật những rủi ro liên quan đến các cấu hình tối giản hoặc mặc định. Nhiều nhà phát triển chọn Alpine Linux vì kích thước nhỏ và danh tiếng về bảo mật, với giả định rằng ít thành phần hơn đồng nghĩa với bề mặt tấn công nhỏ hơn. Tuy nhiên, sự cố này chứng minh rằng các thiết lập mặc định đôi khi có thể đưa ra những điểm yếu không mong muốn. Nếu máy chủ của bạn sử dụng Alpine hoặc các bản phân phối dựa trên musl khác và có các tài khoản người dùng không có mật khẩu, chúng sẽ ngay lập tức dễ bị chiếm quyền điều khiển từ xa.

Việc khai thác tích cực lỗ hổng này có nghĩa là các máy chủ kết nối internet đã và đang bị quét và nhắm mục tiêu. Không giống như các lỗ hổng lý thuyết, SSHole đang được sử dụng ngoài thực tế ngay bây giờ. Đối với các kỹ sư DevOps và quản trị viên hệ thống, điều này đòi hỏi việc xác minh cấu hình máy chủ ngay lập tức. Chỉ vá phần mềm là chưa đủ; bạn cũng phải đảm bảo rằng các chính sách xác thực được thực thi đúng cách, đặc biệt là trong các môi trường nơi PAM đã bị vô hiệu hóa có chủ đích vì lý do đơn giản hóa hoặc hiệu suất.

Hơn nữa, sự kiện này là lời nhắc nhở rằng vệ sinh chuỗi cung ứng và cấu hình là rất quan trọng. Cùng tuần đó đã chứng kiến các cuộc tấn công vào cơ chế cập nhật của các bộ bảo mật web và thiết bị mạng. Việc dựa vào các thiết lập mặc định mà không hiểu rõ các hàm ý bảo mật của chúng có thể tạo ra những khoảng trống mà kẻ tấn công khai thác nhanh chóng. Các đội ngũ phải cân bằng giữa sự tiện lợi của các bản phân phối nhẹ với nhu cầu về các biện pháp kiểm soát xác thực mạnh mẽ.

Bạn có thể làm gì

• Kiểm toán tất cả các máy chủ Linux chạy OpenSSH để xác định những máy sử dụng thư viện C musl, chẳng hạn như Alpine Linux.
• Kiểm tra xem Pluggable Authentication Modules (PAM) có bị vô hiệu hóa trong các tệp cấu hình OpenSSH của bạn hay không.
• Đảm bảo không có tài khoản người dùng nào trên các hệ thống bị ảnh hưởng được cấu hình với mật khẩu trống hoặc rỗng.
• Áp dụng ngay lập tức các bản vá bảo mật mới nhất cho OpenSSH do nhà cung cấp bản phân phối của bạn cung cấp.
• Giám sát nhật ký truy cập để tìm các nỗ lực đăng nhập thất bại hoặc thành công từ các địa chỉ IP không xác định, đặc biệt là những địa chỉ được liệt kê trong các báo cáo mối đe dọa gần đây.
• Cân nhắc bật PAM hoặc chuyển sang một bản phân phối dựa trên glibc nếu chính sách bảo mật của bạn yêu cầu thực thi mật khẩu nghiêm ngặt và bạn không thể đảm bảo tất cả các tài khoản đều có thông tin đăng nhập mạnh.