SSHole-Lücke in OpenSSH: Angriffe auf musl-Systeme starten binnen neun Stunden
Veröffentlicht am: 10.11.2026 um 12:22 Uhr | Redaktion boerse-global.de
Eine kritische Sicherheitslücke im SSH-Server OpenSSH wird bereits aktiv ausgenutzt. Betroffen sind vor allem schlanke Linux-Systeme und Container-Umgebungen – deutsche Admins sollten handeln.
Die US-Cybersecurity-Behörde CISA hat die Schwachstelle mit der Kennung CVE-2026-123158 in ihren Katalog der aktiv ausgenutzten Lücken aufgenommen. Der Spitzname der Lücke: „SSHole". Sie erlaubt es Angreifern, sich ohne gültige Zugangsdaten oder SSH-Schlüssel in passwortlose Konten einzuloggen. Betroffen sind Systeme, die auf der alternativen C-Bibliothek musl basieren.
Für Betreiber von Servern und Containern ist das brisant. Denn musl steckt in vielen schlanken Linux-Distributionen, die gerade im Cloud- und Embedded-Bereich weit verbreitet sind. Wer auf Nummer sicher gehen will, sollte umgehend patchen.
Ein Fehler mit fatalen Folgen
Entdeckt wurde die Lücke vom Sicherheitsforscher Özgün Kültekin. Sie erreicht einen CVSS-Score von 8,1 und gilt damit als hochgefährlich. Ursache ist ein Zusammenspiel: OpenSSH und die musl-Bibliothek geraten bei deaktivierten PAM-Modulen (Pluggable Authentication Modules) aus dem Tritt.
Konkret geht es um eine Code-Anpassung, die einst eingeführt wurde, um das Ausspähen von Benutzernamen zu verhindern. Hat ein Konto kein Passwort – in Systemdateien oft mit einem Sternchen markiert –, leiht sich der SSH-Dienst das Salz eines anderen Kontos, um eingehende Login-Versuche zu prüfen.
Schickt ein Angreifer nun ein überlanges Passwort von mehr als 256 Byte, scheitert die Hash-Funktion von musl. Statt einer Fehlermeldung gibt sie ein Sternchen zurück. Der SSH-Dienst deutet dieses Zeichen als Treffer – und lässt den Angreifer durch.
Welche Systeme betroffen sind
Die Voraussetzungen für einen erfolgreichen Angriff sind spezifisch, aber keineswegs exotisch. Betroffen sind OpenSSH-Installationen auf musl-Basis ohne PAM-Unterstützung. Zusätzlich muss die Passwort-Anmeldung aktiv sein – was der Standardkonfiguration entspricht.
Hinzu kommen ein Konto ohne nutzbares Passwort und mindestens ein weiteres lokales Konto mit regulärem Passwort-Hash. Wer auf die verbreitete GNU-C-Bibliothek setzt, ist fein raus: Debian, Ubuntu, Red Hat Enterprise Linux und Fedora bleiben verschont. Auch PAM-verwaltete Umgebungen und Server ohne Passwort-Login sind geschützt.
Wer sich mit der Absicherung von IT-Infrastrukturen befasst, muss heute proaktiv auf neue Bedrohungslagen reagieren. Dieses kostenlose E-Book enthüllt, wie Sie kritische Sicherheitslücken schließen und Ihr Unternehmen ohne teure Investitionen vor modernen Cyberangriffen schützen. Gratis-E-Book zur Cyber-Security jetzt herunterladen
Doch gerade die musl-Distributionen haben ein Problem. Alpine Linux, OpenWrt, Buildroot und Yocto sind in Standardkonfigurationen angreifbar. Sie kommen häufig in Containern, Routern und industriellen Geräten zum Einsatz.
Angriffe laufen bereits – automatisiert
Lange mussten Angreifer nicht warten. Innerhalb von Stunden nach der Veröffentlichung der Lücke und eines Proof-of-Concept-Exploits liefen erste Angriffsversuche. Der Anbieter Previdian meldete eine erste Ausnutzung weniger als neun Stunden nach Bekanntwerden.
Auf einem Honeypot mit Alpine Linux verschafften sich Angreifer bereits Root-Zugriff. Die Telemetrie von GreyNoise zeigt erfolgreiche Angriffsketten seit dem 7. November 2026. Die Angreifer spähen Systeme und Container aus, fragen Cloud-Metadatendienste ab und versuchen, Root-SSH-Schlüssel sowie Passwort-Hashes zu erbeuten.
Angesichts immer komplexerer Angriffsketten wird eine fundierte Risikoanalyse für Unternehmen jeder Größe unerlässlich. Experten erklären in diesem kostenlosen Report, wie Sie sich proaktiv gegen aktuelle Methoden der Cyberkriminellen absichern, bevor es zu spät ist. Kostenlose Checkliste zur Hacker-Abwehr sichern
Auch auf Dauerzugang haben es die Täter abgesehen. Sie schmuggeln eigene Zugangsdaten in die Datei authorized_keys und installieren Werkzeuge wie den Python-basierten Fernsteuerungs-Dienst TAC Agent. Die Offensiv-Firma watchTowr bestätigt, dass die Lücke in automatisierte Kampagnen eingebaut wurde – inklusive Versuchen, gekaperte Server in Botnetze einzugliedern und Krypto-Miner zu installieren.
Was Admins jetzt tun sollten
Die OpenSSH-Entwickler haben nachgebessert. Version 10.6p2 vom 5. November 2026 schließt die Lücke, Alpine Linux lieferte am selben Tag passende Pakete. Sicherheitsteams wird dringend geraten, das Update sofort einzuspielen – und den SSH-Dienst neu zu starten.
Warum der Neustart? Ein aktualisiertes Paket allein reicht nicht. Laufende Hintergrundprozesse greifen weiter auf die alte, verwundbare Version zu. Erst der Neustart des Daemons macht den Fix wirksam.
Wer nicht sofort patchen kann, hat eine Notlösung: Die Konfigurationsdirektive PasswordAuthentication auf „no" setzen und den Dienst neu starten. Das entschärft den Angriffsvektor, während die Anmeldung per SSH-Schlüssel erhalten bleibt. Zusätzlich sollten Administratoren ihre Systemprotokolle durchforsten – auf unerwartete erfolgreiche Passwort-Anmeldungen bei Konten, die eigentlich ohne Passwort laufen sollten.
