9 ноября 2026 года CISA добавила в каталог известных эксплуатируемых уязвимостей (KEV) четыре уязвимости, затрагивающие OpenSSH, GPUStack, SignalWire FreeSWITCH и IBM Aspera Faspex. Три из четырёх уязвимостей (CVSS 8.1–9.8) имеют подтверждённые случаи эксплуатации: для OpenSSH зафиксированы атаки с развёртыванием C2-агентов, для GPUStack — создание обратных оболочек через административный доступ, для FreeSWITCH — выполнение команд через SIP-сообщения. Федеральным агентствам США установлен срок устранения — 12 ноября 2026 года. Организациям, использующим эти продукты, необходимо немедленно проверить версии и применить обновления.
Уязвимости: технический разбор
CVE-2026-123158 — OpenSSH (SSHole)
Уязвимость CVE-2026-123158, получившая название SSHole, затрагивает OpenSSH до версии 10.6p2 на Linux-системах, использующих библиотеку musl libc без PAM (характерный пример — Alpine Linux). Уязвимость классифицирована как CWE-394 (некорректная обработка возвращаемого значения) с оценкой CVSS 8.1. При определённых конфигурациях учётных записей любой пароль длиной от 256 до 1024 символов позволяет обойти аутентификацию.
Мы уже подробно разбирали эту уязвимость. С момента публикации ситуация существенно обострилась: по данным GreyNoise, первая успешная эксплуатация зафиксирована 7 ноября 2026 года в 00:46 UTC. По состоянию на 11 ноября GreyNoise зарегистрировал 5 возможных попыток эксплуатации и 31 подтверждённую постэксплуатационную сессию на своих сенсорах.
CVE-2026-102895 — GPUStack
Уязвимость CVE-2026-102895 (CVSS 9.8) в GPUStack до версии 2.2.0 позволяет получить неаутентифицированный административный доступ. Согласно рекомендации разработчиков, если обратный прокси-сервер на том же хосте или поддельный заголовок X-GPUStack-Real-IP заставляет запрос выглядеть как исходящий от 127.0.0.1, атакующий получает полный административный контроль: изменение пользователей, моделей, воркеров и конфигурации, создание постоянных API-ключей администратора, раскрытие секретов и выполнение кода на рабочих узлах.
Согласно записи в GitHub Advisory Database, уязвимость была эксплуатирована против развёртывания версии 2.1.1, где атакующие создавали пользовательские бэкенды с обратными оболочками. Исправление в версии 2.2.0 удаляет механизм автоматического предоставления административного доступа для локальных запросов и ужесточает обработку заголовков перенаправления.
CVE-2026-116779 — FreeSWITCH
Уязвимость CVE-2026-116779 (CVSS 9.8) в SignalWire FreeSWITCH версий 1.11.2 и ранее — это инъекция кода через входящее SIP-сообщение (SIP MESSAGE). Атакующий может выбрать протокол чата FreeSWITCH API и выполнять команды с привилегиями процесса FreeSWITCH, включая раскрытие конфигурации и учётных данных, управление вызовами и выполнение произвольных команд ОС. Рекомендация разработчиков указывает, что эксплуатация наблюдалась в реальных условиях, однако детали кампании — масштаб, жертвы и атрибуция — не раскрыты.
CVE-2026-123218 — IBM Aspera Faspex
Уязвимость CVE-2026-123218 (CVSS 9.8, CWE-863) в IBM Aspera Faspex версий 5.0.0–5.0.19 позволяет аутентифицированному пользователю сформировать специальное сообщение для обхода авторизации и повышения привилегий. IBM рекомендует обновление до версии 5.0.19 PL1. В отличие от трёх других уязвимостей, для CVE-2026-123218 в доступных материалах отсутствуют независимые подтверждения конкретных случаев эксплуатации.
Постэксплуатационная активность SSHole
По данным GreyNoise, наблюдаемая постэксплуатационная активность после использования CVE-2026-123158 включает:
- Проверку, работает ли система в контейнере
- Запросы к сервисам метаданных облачных провайдеров (AWS, Azure, Alibaba Cloud)
- Попытки чтения SSH-ключей root и хешей паролей из
/etc/shadow - Модификацию файла
authorized_keysдля закрепления доступа
В одном из кластеров активности зафиксировано развёртывание TAC Agent — C2-агента на Python, способного выполнять команды, проводить разведку системы, передавать файлы и обновлять себя. Агент связан с доменом tac.vpnla.org. GreyNoise подчёркивает, что не вся активность SSHole связана с этим кластером.
Приоритизация и различия в предпосылках эксплуатации
Четыре уязвимости существенно различаются по условиям эксплуатации. IBM Aspera Faspex требует наличия аутентифицированного пользователя. FreeSWITCH уязвим при доступности входящего SIP-трафика. GPUStack эксплуатируется через обратный прокси на том же хосте или подделку заголовков. SSHole ограничен конфигурациями с musl libc без PAM.
С точки зрения приоритета, немедленного внимания заслуживают OpenSSH, GPUStack и FreeSWITCH — для них существуют независимые или вендорские подтверждения эксплуатации в реальных условиях. Для IBM Aspera Faspex доступный материал подтверждает критическую серьёзность, но не содержит аналогичных свидетельств активных атак.
Рекомендации
- OpenSSH: обновить до версии 10.6p2. Проверить, используется ли musl libc без PAM (Alpine Linux и подобные дистрибутивы). Провести поиск признаков компрометации: запросы к облачным метаданным, чтение
/etc/shadow, модификацияauthorized_keys, соединения сtac.vpnla.org - GPUStack: обновить до версии 2.2.0 или новее. Проверить наличие неизвестных API-ключей администратора и пользовательских бэкендов
- FreeSWITCH: обновить до версии 1.11.3 или новее. Ограничить входящий SIP-трафик доверенными источниками
- IBM Aspera Faspex: обновить до версии 5.0.19 PL1
Индикаторы компрометации (из данных GreyNoise)
IP-адреса, связанные с эксплуатацией SSHole:
183.220.91.15,196.128.138.201,20.255.63.133,20.2.81.241152.175.65.88,202.155.94.33,47.80.65.43,209.248.50.17157.15.77.139,103.140.130.248,79.116.138.30
Домен C2: tac.vpnla.org
Учитывая крайне сжатый срок устранения (12 ноября 2026 года для федеральных агентств), организациям следует в первую очередь проверить наличие OpenSSH на musl-системах и доступность GPUStack и FreeSWITCH из внешних сетей — именно эти три вектора имеют подтверждённую эксплуатацию и наибольший риск компрометации прямо сейчас.
