SSHHole Açığı, Uzun Parolalarla Linux Sistemlerinde Root Erişimi Sağlıyor
OpenSSH yazılımında ortaya çıkarılan SSHHole güvenlik açığı (CVE-2026-123158), belirli Linux dağıtımlarında 256 karakterden uzun parolalar kullanılarak yetkisiz hesaplara giriş yapılmasına yol açıyor. Musl C kütüphanesini kullanan Alpine Linux, OpenWrt, Buildroot ve Yocto tabanlı sistemler, güvenlik sorunundan etkilenebilen platformlar arasında bulunuyor. OpenSSH geliştiricileri, açığı gidermek amacıyla 5 Kasım 2026 tarihinde 10.6p2 sürümünü yayınladı.
SSHHole, Parola Doğrulamasındaki Bir Hata Üzerinden Çalışıyor
OpenSSH bünyesindeki SSHHole açığı, normal şartlarda parola ile oturum açmayı kabul etmemesi gereken Linux hesaplarını hedef alıyor. Güvenlik sorunu, özellikle musl C kütüphanesini kullanan sistemlerde parola doğrulama sürecinin beklenmedik biçimde sonuçlanmasından kaynaklanıyor. Saldırgan, 256 karakteri aşan bir parola gönderdiğinde bazı koşullarda sistem hesabın parola doğrulamasını hatalı değerlendirerek erişime izin verebiliyor.
Güvenlik açığının geçmişi 2016 yılına kadar uzanıyor. Alpine Linux başta olmak üzere OpenWrt, Buildroot ve Yocto gibi musl tabanlı ortamlarda kullanılan OpenSSH kurulumları risk altında bulunuyor. Sorun, bu platformlar üzerine kurulan bazı Docker imajlarını da ilgilendiriyor. Özellikle hazır konteyner imajları kullanan yöneticilerin, sistemlerinde hangi kütüphanelerin ve yapılandırmaların bulunduğunu kontrol etmesi gerekiyor.
SSH erişiminde yalnızca anahtar doğrulamasına izin verilen hesaplar da belirli yapılandırmalarda risk taşıyor. Root hesabı, dağıtım işlemleri için kullanılan anahtar tabanlı hesaplar ve LDAP kullanıcıları bu grupta yer alabiliyor. Alpine Linux’un AWS ve Azure ortamları için hazırladığı bazı imajlarda bulunan varsayılan kullanıcı hesapları da araştırmacıların değerlendirdiği örnekler arasında bulunuyor.
OpenSSH projesi, SSHHole sorununa yönelik düzeltmeyi 5 Kasım 2026 tarihinde yayınlanan Portable OpenSSH 10.6p2 sürümüne dahil etti. Yöneticilerin etkilenen sistemlerde güncel sürüme geçmesi, güvenlik açığından kaynaklanan erişim riskini azaltmak açısından öncelik taşıyor. Güncelleme, özellikle musl tabanlı Linux dağıtımlarında çalışan SSH sunucularının güvenliğini yeniden değerlendirmeyi gerektiriyor.
Açığın kapsamı, kullanılan C kütüphanesine ve kimlik doğrulama yapılandırmasına göre değişiyor. glibc kullanan Linux dağıtımları ile PAM üzerinden kimlik doğrulaması gerçekleştiren sistemlerin bu sorundan etkilenmediği belirtiliyor. Dolayısıyla her Linux sunucusunun aynı risk seviyesinde değerlendirilmesi doğru değil. Sistem yöneticilerinin dağıtımın kullandığı C kütüphanesini, OpenSSH sürümünü ve SSH parola doğrulama ayarlarını birlikte incelemesi gerekiyor.
OpenSSH geliştiricisi Damien Miller, sorunun temel nedeninin doğrudan OpenSSH kodundan kaynaklanmadığını belirtiyor. Miller, etkilenen sistemlerin yöneticilerine parola ile SSH girişini veya SSH hizmetini geçici olarak devre dışı bırakmalarını öneriyor. Bu yaklaşım, güvenlik güncellemesi uygulanana kadar saldırı yüzeyini daraltmaya yönelik bir önlem olarak öne çıkıyor.
SSH erişimini dış dünyaya açık bırakan sunucular, parola tabanlı kimlik doğrulamasının kullanılması hâlinde daha yakından incelenmeli. Güvenlik uzmanlarının özellikle internete açık SSH hizmetlerinde parola doğrulaması yerine sertifika veya anahtar tabanlı kimlik doğrulamasını tercih etmesi öneriliyor. Konteyner ortamlarında ise yöneticilerin kaynağı ve yapılandırması bilinmeyen hazır imajları doğrudan kullanmak yerine kendi imajlarını oluşturması, sistem bileşenlerinin denetlenmesini kolaylaştırıyor.
Alpine Linux kullanan yöneticiler, başarılı parola tabanlı SSH oturumlarını sistem günlükleri üzerinden kontrol edebiliyor. Aşağıdaki komut, /var/log/messages dosyasında başarılı parola girişlerine ilişkin kayıtları listeliyor:
grep "Accepted password" /var/log/messagesYöneticilerin bu kayıtları incelerken olağan dışı kullanıcı hesaplarına, beklenmeyen bağlantı zamanlarına ve tanınmayan kaynak adreslerine özellikle bakması gerekiyor. Şüpheli bir erişim tespit edilmesi durumunda ilgili hesapların parolalarının yenilenmesi, erişim anahtarlarının kontrol edilmesi ve sistemde başka yetkisiz işlemler bulunup bulunmadığının araştırılması önem taşıyor.
SSHHole, yalnızca parola tabanlı girişin kapatılmış olmasının her yapılandırmada yeterli koruma sağlamayabileceğini gösteren bir güvenlik sorunu olarak öne çıkıyor. Yöneticilerin OpenSSH sürümünü güncellemesi, gereksiz SSH erişimlerini kapatması ve kimlik doğrulama yöntemlerini yeniden değerlendirmesi gerekiyor.
