Contexte de la vulnérabilité
Le 22 novembre 2026, des chercheurs ont identifié sshole, une faille critique qui résulte de l’interaction entre OpenSSH et la bibliothèque C musl. Les systèmes Linux qui combinent ces deux paquets et remplissent des conditions supplémentaires peuvent être compromis en quelques secondes, offrant un accès non authentifié à des comptes à privilèges élevés.
Mécanisme d'exploitation
Selon les rapports, la vulnérabilité exploite une différence de comportement entre les implémentations de fonctions système dans musl et celles attendues par OpenSSH. Cette divergence permet à un attaquant d’injecter du code lors de l’établissement d’une session SSH, contournant ainsi les contrôles d’authentification. Le résultat est une élévation de privilèges immédiate, sans besoin de credentials valides.
Campagne GT10 et backdoor
Le groupe de menace identifié comme GT10 a commencé à exploiter sshole dès sa divulgation publique. Greynoise, qui surveille des honeypots en Asie du Sud‑Est, a constaté des « mature intrusions » menées par ce groupe. Les analystes ont récupéré un serveur GT10 contenant un backdoor nommé TAC Agent. Ce composant, commenté en chinois et généré à l’aide d’une IA, nécessite Python 3 pour fonctionner ; GT10 installe donc ce runtime sur les cibles dépourvues de la version requise. TAC Agent offre des fonctions de commande shell, de reconnaissance système et de persistance, élargissant l’impact de la compromission initiale.
Correction et recommandations
OpenSSH a publié un correctif qui neutralise le vecteur d’attaque en ajustant la façon dont le serveur traite les appels dépendants de musl. Les administrateurs doivent mettre à jour immédiatement leurs paquets OpenSSH vers la version corrigée et, si possible, remplacer musl par une implémentation glibc standard ou appliquer les patches fournis par les distributions. En parallèle, il est recommandé de vérifier la présence de TAC Agent et de Python 3 non autorisés, de supprimer les processus suspects et de renforcer la surveillance des logs SSH pour détecter des tentatives d’accès anormales.
