【23 Daily】arstechnica.com の報道によると、最近発見された重大な Linux の SSH 脆弱性「*sshole」により、多くの Linux システムで特権アカウントへのリモートアクセスが可能となり、悪用が活発化している。この脆弱性は OpenSSH と musl ライブラリの相互作用によるもので、特定条件を満たすシステムでは認証なしで数秒で高権限アクセスを許してしまう。2026年11月5日に公表され、インターネットセキュリティに大きな懸念を引き起こしている。
ハッカーグループGT10が実際の攻撃を展開
セキュリティ企業 Greynoise は東南アジアのハニーポットが GT10 と呼ばれるハッカー集団の攻撃を受けていると報告。彼らは成熟した侵入活動を行い、Greynoise は GT10 のサーバーにアクセス、他の被害者や使用ツールを把握した。攻撃に使われるバックドアには中国語コメントが含まれ、AIで生成された可能性がある。
GT10 は被害機に Python3 をインストールし、自身のバックドア「TAC Agent」を稼働させる。TAC Agent はシェルコマンド、システム偵察、永続化など多機能を持つ。OpenSSH は本脆弱性を防止する修正を公開した。
条件が厳しくも広範囲のシステムに影響
watchTowr と Previdian の研究者も本脆弱性を利用した活動を観測、ボットネットや暗号通貨関連の攻撃を含む。Previdian は9か国の13 IPアドレスから20回の攻撃を検知した。
CVE-2026-123158 として追跡される本脆弱性は、musl と共に PAM（認証モジュール）を使わず OpenSSH が動作し、かつSHA256、SHA512ハッシュのパスワードを持つアカウントと、/etc/shadow ファイルでパスワード欄が"*"のパスワードレスアカウントが存在する場合に成立。攻撃者が256文字以上の長いパスワードをパスワードレスアカウントに入力すると、musl がエラーを起こし、認証に誤りが発生する。
この脆弱性は Alpine Linux のような軽量ディストリビューションに特に危険であり、インターネットに公開された数百万の SSH サーバーを短時間で狙える。
編集部の視点：Linux セキュリティリスクの高まりに迅速な対応を
Linuxは安定性と安全性で評価されてきたが、今回の *sshole 脆弱性はコアコンポーネント間の相互作用が新たな攻撃経路を生むことを示している。musl ベースの軽量ディストリビューションに特に影響が大きい。OpenSSH は世界中で広く利用されており、クラウドや企業ネットワークの基幹となるため、大規模なリスクと言える。
起業家はインフラのセキュリティアップデートを速やかに適用し、musl と PAM非使用の OpenSSH の環境かを見極めることが重要だ。更新後は脆弱性が解消されたかスキャンし、異常ログイン監視を継続することで、被害拡大を防ぐことができる。