VULNERABILIDAD
Explotación activa de SSHole, la falla crítica de OpenSSH que permite acceso sin contraseña
La vulnerabilidad CVE-2026-123158 afecta configuraciones específicas de Linux con musl y PAM deshabilitado. Investigadores detectaron intentos de explotación en honeypots horas después de la divulgación.
Una vulnerabilidad crítica en OpenSSH, identificada como CVE-2026-123158 y apodada SSHole, fue divulgada públicamente y comenzó a ser explotada de forma activa en menos de 24 horas. La falla permite el acceso a cuentas de usuario que no tienen contraseña configurada en sistemas Linux que ejecutan OpenSSH sobre la biblioteca musl C con PAM deshabilitado.
El vector de ataque es directo: en esa configuración específica, OpenSSH no valida correctamente la ausencia de credenciales y permite la autenticación sin contraseña. No se requieren cadenas de explotación complejas ni evasión de mitigaciones de memoria, lo que reduce la barrera técnica para los atacantes.
La firma Previdian reportó intentos de explotación en honeypots horas después de la divulgación pública, lo que confirma que actores de amenazas ya están sondeando sistemas vulnerables. La rapidez de la respuesta atacante se atribuye al alto valor de OpenSSH, presente en casi toda la infraestructura Linux con acceso remoto.
Qué se sabe
ACREDITADO
- La vulnerabilidad CVE-2026-123158 en OpenSSH permite el acceso a cuentas sin contraseña en configuraciones específicas de Linux con musl C y PAM deshabilitado.
- Previdian detectó intentos de explotación en honeypots horas después de la divulgación pública de la falla.
- El exploit no requiere ingeniería sofisticada cuando el sistema cumple las condiciones de configuración.
SIN VERIFICAR O ABIERTO
- No se informó qué organizaciones concretas habrían sido comprometidas mediante esta vulnerabilidad.
- No está claro cuántos sistemas en América Latina o España reúnen la configuración específica afectada.
- No se detalló el volumen ni el origen de los intentos de explotación detectados en honeypots.
Contexto
OpenSSH es un componente central de la infraestructura Linux con acceso remoto, desde servidores en la nube hasta dispositivos de red, lo que lo convierte en un objetivo de alto valor para atacantes. La mayoría de los servidores de producción en empresas medianas y grandes de la región ejecutan distribuciones basadas en glibc con PAM habilitado por defecto, lo que los deja fuera del alcance directo de esta falla.
El riesgo se concentra en entornos que despliegan musl C con PAM deshabilitado, una combinación menos común en servidores tradicionales pero presente en ciertos contenedores, sistemas embebidos y configuraciones minimalistas. Las organizaciones deben mapear dónde tienen ese stack desplegado para evaluar su exposición.
La explotación activa en menos de 24 horas confirma un patrón observado en vulnerabilidades previas de OpenSSH y otros componentes de infraestructura crítica: la ventana para parchear antes de la explotación masiva es cada vez más estrecha, y los ciclos de parcheo mensuales o trimestrales resultan insuficientes.
Qué hacer
- Inventariar despliegues de musl Revisar qué sistemas ejecutan OpenSSH sobre musl C con PAM deshabilitado, ya que son los únicos expuestos directamente a esta falla.
- Verificar cuentas sin contraseña Auditar las cuentas de usuario sin contraseña configurada y deshabilitar el acceso remoto para ellas mientras se aplica la actualización.
- Aplicar parches con urgencia Priorizar la actualización de OpenSSH en los sistemas afectados y reducir los ciclos de parcheo ante una explotación activa confirmada.
- Revisar accesos recientes Analizar registros de autenticación en busca de inicios de sesión anómalos o no explicados en servidores con la configuración vulnerable.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
