Die OpenSSH-Lücke „SSHole“ (CVE-2026-123158) lässt Angreifer auf Linux-Systemen mit musl, darunter Alpine Linux, sich ohne gültiges Passwort in gesperrte Konten einloggen. Angriffe laufen seit dem 6. November, die US-Behörde CISA listet die Lücke seit dem 9. November als aktiv ausgenutzt. Behoben ist sie in OpenSSH 10.6p2.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Das OpenSSH-Projekt hat am 5. November die Version 10.6p2 veröffentlicht, die eine Umgehung der Passwortanmeldung schließt.[1] Die ersten erfolgreichen Angriffe folgten laut GreyNoise rund 40 Stunden später.[2] Stand: Samstag, 14. November 2026.
Das Wichtigste in Kürze
- Betroffen sind Linux-Systeme mit musl libc, bei denen OpenSSH ohne PAM-Unterstützung gebaut ist. Die Version 10.6p2 behebt den Fehler.[1]
- Bei bestimmten Einstellungen genügt ein überlanges Passwort, um sich in Konten einzuloggen, deren Passwortfeld nur „*“ enthält.[2]
- Die CISA nahm die Lücke am 9. November in ihren Katalog ausgenutzter Schwachstellen auf, US-Bundesbehörden mussten bis zum 12. November patchen.[3]
- Microsofts Patchday vom 10. November schließt rund 1.100 Lücken, eine davon in Outlook wird bereits ausgenutzt.[4]
Wie funktioniert der Angriff auf gesperrte Konten?
Unter Linux sperrt man ein Konto für Passwortanmeldungen häufig, indem man im Passwortfeld nur ein Sternchen einträgt. Bei SSHole liefert die Hash-Funktion von musl bei einem überlangen Passwort einen Fehler, und der Fehlerwert ist ebenfalls ein Sternchen. OpenSSH hält ihn für eine Übereinstimmung mit dem gespeicherten Wert und lässt den Nutzer ein.[2] Konten mit gültigem Passwort-Hash sind nicht betroffen.[2] Hat das gesperrte Konto passwortlose Admin-Rechte, wird daraus ein Zugang als Root.[2]
Die Entwickler sehen die Ursache außerhalb von sshd, entschärfen sie aber im Dienst selbst.[1] Das trifft vor allem Konten ohne nutzbares Passwort, etwa Dienstkonten. Welche Versionen genau betroffen sind, nennen die Release Notes nicht; sicher ist 10.6p2 oder neuer.[1] Volle Systemrechte über SSH waren schon bei der Tailscale-Lücke ein Thema.
Was haben die Angreifer bisher getan?
Ein Proof-of-Concept-Angriff erschien laut BleepingComputer rund vier Stunden nach dem Fix.[2] Die Firma Defused sah nach eigenen Angaben nur „eine kleine Zahl von Akteuren“, die Angriffe sind demnach nicht breit gestreut.[3] Die Angreifer lasen Passwort-Hashes und SSH-Schlüssel des Root-Kontos aus und änderten die Datei authorized_keys, um später wieder hineinzukommen.[2] Einer installierte das Steuerprogramm TAC Agent, das den Steuerungsserver nicht erreichte. Die Sicherheitsfirma watchTowr berichtet von Botnetzen und Kryptominern.[3]
Was sollten Administratoren jetzt tun?
OpenSSH auf 10.6p2 aktualisieren oder die Passwortanmeldung abschalten, wo sie nicht gebraucht wird.[2] Danach lohnt der Blick ins Protokoll: erfolgreiche Passwort-Logins bei Konten mit „*“ im Passwortfeld, fremde Schlüssel in authorized_keys sowie Dateien und Startdienste von TAC Agent.[2] Bei Alpine als Basis für Container ist zu prüfen, ob dort ein SSH-Dienst läuft. Zu Alpine Linux gab es zuletzt auch den Vorfall mit einer GitLab-Lücke.
Das Sternchen, das ein Konto sperren soll, wurde zur Eintrittskarte.
Markus Seyfferth, Chefredakteur Dr. Web
Was steht im Microsoft-Patchday?
Microsoft hat am 10. November laut it-connect 1.093 Schwachstellen ohne Edge geschlossen, 63 davon als kritisch eingestuft.[4] Qualys zählt inklusive 142 Edge-Lücken 1.235.[5] Der Oktober-Patchday mit 1.407 Lücken bleibt der Rekord, über die Windows-Lücken im Oktober hat Dr. Web berichtet.[4]
Ausgenutzt wird eine einzige: CVE-2026-124194, ein Spoofing-Fehler in Outlook (CVSS 6,5). Eine präparierte Office-Datei bringt Outlook dazu, ohne die übliche Warnung eine Verbindung zu einem Server des Angreifers aufzubauen, dabei kann der NTLMv2-Hash des Nutzers abfließen.[4] Die CISA setzte US-Bundesbehörden eine Frist bis zum 24. November.[5] Betroffen sind Microsoft 365 Apps sowie Office LTSC 2021 und 2024, behoben mit den Builds 16.0.14334.21048 und 16.0.17932.21140.[4]
Für Betriebe in der DACH-Region laufen damit zwei dringende Aufgaben parallel, eine auf Linux-Servern und eine auf Büro-Rechnern. Die Fristen der CISA gelten nur für US-Behörden, taugen aber als Orientierung. Ältere Meldungen zum Thema stehen im Rückblick auf den Juli-Patchday.
Quellen
[1] OpenSSH Project: Release Notes, „Changes since OpenSSH 10.6p1“ (OpenSSH 10.6p2) (5. November 2026)
[2] BleepingComputer: „Hackers exploit SSHole OpenSSH flaw to breach Linux systems“ (9. November 2026)
[3] The Hacker News: „CISA warns of active exploitation of …“ (10. November 2026)
[4] it-connect: „Patch Tuesday, November 2026: Microsoft Fixes 1,093 Vulnerabilities, Including an Exploited Outlook Zero-Day“ (11. November 2026)
[5] Qualys: „Microsoft Patch Tuesday, November 2026 Security Update Review“
Mehr Newshunger?
- Tailscale schließt schwere Sicherheitslücken, über die SSH-Sitzungen volle Systemrechte erlangen konnten
- Alpine Linux: Ein Angreifer versuchte, eine kritische GitLab-Sicherheitslücke auszunutzen
- Defender-Lücke ShieldBreak: CISAs 14-Tage-Frist läuft ohne Patch
- 23 Windows-Lücken im Oktober-Update, gefunden mit Zhipus KI-Modell GLM
- 570 Sicherheitslücken an einem Tag: KI treibt Microsofts Patchday auf Rekordniveau
- Claude-Code-Erweiterung: Manipulierte Version 2.1.313 versuchte, eine SSH-Hintertür einzurichten
