Celah OpenSSH SSHole Diserang Kurang dari 9 Jam setelah CVE Terbit, Honeypot Alpine Dikuasai

Kata sandi yang kelewat panjang ternyata cukup untuk membuka pintu SSH. Penyerang tidak perlu menunggu lama untuk membuktikannya di sebuah sistem jebakan.

Celah OpenSSH bernomor CVE-2026-123158 yang dijuluki SSHole mulai diserang kurang dari sembilan jam setelah CVE-nya terbit pada Kamis (5/11/2026). Perusahaan intelijen ancaman Previdian mencatat percobaan eksploitasi pertama dan memastikan penyerang berhasil mendapat akses root di honeypot (server umpan untuk memancing penyerang) yang menjalankan Alpine Linux.

Total ada delapan percobaan eksploitasi dari satu alamat IP yang berlokasi di Jepang, menurut telemetri Previdian. Penyerang menggunakan kata sandi berukuran besar untuk melewati autentikasi, lalu menjalankan perintah id, uname, dan hostname lewat sesi SSH noninteraktif. "Used oversized passwords to bypass authentication," kata Ryan Dewhurst, pendiri sekaligus CEO Previdian, kepada The Hacker News.

Bug 2016 yang bertemu pustaka musl

Catatan CVE menempatkan celah ini pada sshd versi sebelum 10.6p2 di Linux yang memakai pustaka musl libc tanpa PAM. Skor CVSS 3.1 dari penerbit CVE tercatat 8,1 dengan tingkat keparahan tinggi. Rekaman CVE menyebut kata sandi sepanjang sekitar 256 hingga 1.024 karakter bisa lolos untuk konfigurasi akun tertentu. The Hacker News menulis batas bawahnya 257 byte, selisih satu angka yang belum dijelaskan sumber mana pun.

Akar masalahnya ada pada tambalan tahun 2016 untuk CVE-2016-6210, yang membuat sshd meminjam salt dari akun asli demi menyamarkan keberadaan nama pengguna. Pada musl, fungsi crypt() gagal untuk hash berawalan $5$ atau $6$ bila kata sandi melebihi 256 byte dan mengembalikan tanda bintang. Tanda itu persis sama dengan isi kolom kata sandi akun tanpa kata sandi, sehingga sshd menganggap cocok.

Penemunya adalah Özgün Kültekin dari Wakefield, menurut laporan The Hacker News sehari sebelumnya. Tim OpenSSH di bawah Damien Miller disebut menerima kabar itu pekan ini dan merilis perbaikan pada hari yang sama, yaitu OpenSSH 10.6p2.

Siapa yang benar-benar terancam

Tidak semua server SSH terdampak. Menurut penjelasan yang dikutip The Hacker News dari saran keamanan Alpine, server rentan bila memenuhi empat syarat sekaligus: openssh-server dibangun tanpa PAM atau berjalan dengan UsePAM no; PasswordAuthentication bernilai yes, yang merupakan nilai bawaan; ada akun dengan tanda bintang di kolom kata sandi; dan ada akun lokal lain berhash $5$ atau $6$. Penyerang juga harus tahu nama akun tanpa kata sandi.

Di Alpine, akun tanpa kata sandi mencakup root yang dikirim sebagai root:* sejak sekitar Alpine 3.16, pengguna yang hanya memakai kunci, dan pengguna "alpine" pada citra tiny-cloud. Sistem berbasis glibc, sistem yang memeriksa kata sandi lewat PAM, Dropbear, dan sistem non-Linux tidak terdampak. Alpine juga menyebut OpenWrt, Buildroot, dan Yocto sebagai sistem musl yang perlu dicek, meski OpenWrt memakai Dropbear secara bawaan.

Tambalan, solusi sementara, dan cara mengecek

Langkah utamanya memasang OpenSSH 10.6p2 atau paket distribusi yang sudah ditambal, lalu memulai ulang sshd. Untuk Alpine, rilis yang memuat perbaikan adalah 3.21.10, 3.22.8, 3.23.8, dan 3.24.4. Perintah yang dianjurkan adalah apk upgrade -U -a diikuti rc-service sshd restart, karena memperbarui paket saja tidak menghentikan proses sshd yang sedang berjalan.

Damien Miller menyarankan pilihan darurat: "set PasswordAuthentication=no or disable SSH for these systems IMMEDIATELY." Sebelum mengubahnya, administrator disarankan memastikan login berbasis kunci berfungsi dan menjaga satu sesi tetap terbuka. Untuk memeriksa kemungkinan penyusupan, log di /var/log/messages bisa dicari baris "Accepted password for" pada akun yang tidak punya kata sandi. Saran Alpine lugas: bila login tidak bisa dikesampingkan, anggap mesin sudah dikompromikan.

Tingkat keparahan dan status eksploitasi masih berbeda antarsumber

The Hacker News edisi 5 November menulis OpenSSH menilai celah ini kritis, sedangkan skor CVSS di rekaman CVE masuk kategori tinggi. Laporan yang sama kala itu juga menyebut belum ada serangan yang dilaporkan, sebelum Previdian mencatat percobaan pertama pada hari berikutnya. Penilaian tambahan CISA di rekaman CVE per 5 November mencantumkan eksploitasi pada tahap bukti konsep, dengan dampak teknis total, dan dua repositori bukti konsep sudah dirujuk di sana.

Yang belum terjawab adalah seberapa banyak sistem Alpine di dunia nyata yang memenuhi keempat syarat itu dan masih menunggu tambalan. Serangan pertama datang dari satu IP dalam hitungan jam; apakah gelombang berikutnya menyusul bergantung pada seberapa cepat administrator memulai ulang sshd mereka.