SSHole in OpenSSH: una password vuota spalanca Linux agli hacker, exploit già in corso nel mondo

Nel panorama della cybersecurity di questa settimana spicca un elemento tanto semplice quanto pericoloso: una password vuota. Una recente vulnerabilità di OpenSSH chiamata SSHole ha mostrato come anche configurazioni apparentemente innocue possano aprire la porta a intrusioni rapide.

Il problema riguarda alcuni sistemi Linux che utilizzano OpenSSH con la libreria musl e con PAM disabilitato, una combinazione presente ad esempio in configurazioni predefinite di Alpine Linux. In questo scenario un attaccante può tentare l’accesso a account senza password sfruttando una falla ad alta gravità, e le prime attività di sfruttamento sono state osservate quasi subito dopo la divulgazione, con tentativi provenienti da più paesi.

La notizia conferma un trend noto: il tempo tra patch e exploit si sta riducendo e la superficie di attacco cresce grazie a errori di configurazione e dipendenze di rete. Un secondo tema critico è la catena di fiducia degli aggiornamenti. Quando i canali di update vengono compromessi, il rischio aumenta perché il codice malevolo arriva travestito da manutenzione ordinaria. In parallelo emergono attacchi che sfruttano il traffico web legittimo per attivare backdoor in modo passivo e silenzioso, con tecniche che riducono o eliminano le tracce nei log, rendendo più difficile la risposta agli incidenti.

Anche la gestione dei pacchetti torna sotto i riflettori: una vulnerabilità nel gestore APT su Debian e Ubuntu può consentire, in condizioni specifiche, l’installazione di pacchetti non correttamente verificati tramite un attacco man-in-the-middle quando sono presenti sorgenti HTTP e impostazioni di retry. In questi casi gli script di mantenimento del pacchetto possono essere eseguiti con privilegi elevati fino a root, trasformando un aggiornamento in un vettore di compromissione.

Sul fronte network security si registra lo sfruttamento di vulnerabilità su dispositivi di rete come switch, con furto di configurazioni e credenziali e distribuzione di backdoor e rootkit. Intanto le campagne di phishing evolvono con tecniche browser-in-the-middle che puntano a sessioni Microsoft 365 e con esche legate a eventi e strumenti di intelligenza artificiale. Il messaggio operativo è chiaro:

• Controllare account senza password
• Disabilitare HTTP dove possibile
• Applicare patch con priorità alle CVE attivamente sfruttate
• Monitorare in modo rigoroso canali di aggiornamento e log di autenticazione