9 листопада 2026 року CISA додала до каталогу відомих експлуатованих вразливостей (KEV) чотири вразливості, що зачіпають OpenSSH, GPUStack, SignalWire FreeSWITCH та IBM Aspera Faspex. Для трьох із чотирьох вразливостей (CVSS 8.1–9.8) вже підтверджені випадки експлуатації: для OpenSSH зафіксовано атаки з розгортанням C2-агентів, для GPUStack — створення зворотних оболонок через адміністративний доступ, для FreeSWITCH — виконання команд через SIP-повідомлення. Федеральним агентствам США встановлено дедлайн усунення — 12 листопада 2026 року. Організаціям, що використовують ці продукти, необхідно негайно перевірити версії та застосувати оновлення.
Вразливості: технічний розбір
CVE-2026-123158 — OpenSSH (SSHole)
Вразливість CVE-2026-123158, що отримала назву SSHole, зачіпає OpenSSH до версії 10.6p2 на Linux-системах, які використовують бібліотеку musl libc без PAM (характерний приклад — Alpine Linux). Вразливість класифікована як CWE-394 (некоректна обробка значення, що повертається) з оцінкою CVSS 8.1. За певних конфігурацій облікових записів будь-який пароль довжиною від 256 до 1024 символів дозволяє обійти автентифікацію.
Ми вже детально розбирали цю вразливість. Із моменту публікації ситуація суттєво загострилася: за даними GreyNoise, перша успішна експлуатація зафіксована 7 листопада 2026 року о 00:46 UTC. Станом на 11 листопада GreyNoise зареєстрував 5 можливих спроб експлуатації та 31 підтверджену постексплуатаційну сесію на своїх сенсорах.
CVE-2026-102895 — GPUStack
Вразливість CVE-2026-102895 (CVSS 9.8) у GPUStack до версії 2.2.0 дозволяє отримати неавтентифікований адміністративний доступ. Згідно з рекомендацією розробників, якщо зворотний проксі-сервер на тому самому хості або підроблений заголовок X-GPUStack-Real-IP змушує запит виглядати так, ніби він надходить від 127.0.0.1, зловмисник отримує повний адміністративний контроль: зміну користувачів, моделей, воркерів і конфігурації, створення постійних API-ключів адміністратора, розкриття секретів і виконання коду на робочих вузлах.
Згідно із записом у GitHub Advisory Database, вразливість була експлуатована проти розгортання версії 2.1.1, де зловмисники створювали користувацькі бекенди зі зворотними оболонками. Виправлення у версії 2.2.0 видаляє механізм автоматичного надання адміністративного доступу для локальних запитів і посилює обробку заголовків перенаправлення.
CVE-2026-116779 — FreeSWITCH
Вразливість CVE-2026-116779 (CVSS 9.8) у SignalWire FreeSWITCH версій 1.11.2 і раніших — це інʼєкція коду через вхідне SIP-повідомлення (SIP MESSAGE). Зловмисник може обрати протокол чату FreeSWITCH API та виконувати команди з привілеями процесу FreeSWITCH, включно з розкриттям конфігурації та облікових даних, керуванням викликами та виконанням довільних команд ОС. Рекомендація розробників зазначає, що експлуатацію спостерігали в реальних умовах, однак деталі кампанії — масштаб, жертви й атрибуція — не розкриваються.
CVE-2026-123218 — IBM Aspera Faspex
Вразливість CVE-2026-123218 (CVSS 9.8, CWE-863) в IBM Aspera Faspex версій 5.0.0–5.0.19 дозволяє автентифікованому користувачу сформувати спеціальне повідомлення для обходу авторизації та підвищення привілеїв. IBM рекомендує оновлення до версії 5.0.19 PL1. На відміну від трьох інших вразливостей, для CVE-2026-123218 у доступних матеріалах відсутні незалежні підтвердження конкретних випадків експлуатації.
Постексплуатаційна активність SSHole
За даними GreyNoise, спостережувана постексплуатаційна активність після використання CVE-2026-123158 включає:
- перевірку, чи працює система в контейнері
- запити до сервісів метаданих хмарних провайдерів (AWS, Azure, Alibaba Cloud)
- спроби читання SSH-ключів root та хешів паролів із
/etc/shadow - модифікацію файлу
authorized_keysдля закріплення доступу
В одному з кластерів активності зафіксовано розгортання TAC Agent — C2-агента на Python, здатного виконувати команди, проводити розвідку системи, передавати файли та оновлювати себе. Агент повʼязаний із доменом tac.vpnla.org. GreyNoise підкреслює, що не вся активність SSHole повʼязана з цим кластером.
Пріоритизація та відмінності в передумовах експлуатації
Чотири вразливості суттєво різняться за умовами експлуатації. IBM Aspera Faspex потребує наявності автентифікованого користувача. FreeSWITCH є вразливою за доступності вхідного SIP-трафіку. GPUStack експлуатується через зворотний проксі на тому самому хості або підробку заголовків. SSHole обмежена конфігураціями з musl libc без PAM.
З точки зору пріоритету, негайної уваги заслуговують OpenSSH, GPUStack і FreeSWITCH — для них існують незалежні або вендорські підтвердження експлуатації в реальних умовах. Для IBM Aspera Faspex доступний матеріал підтверджує критичну серйозність, але не містить аналогічних свідчень активних атак.
Рекомендації
- OpenSSH: оновити до версії 10.6p2. Перевірити, чи використовується musl libc без PAM (Alpine Linux і подібні дистрибутиви). Виконати пошук ознак компрометації: запити до хмарних метаданих, читання
/etc/shadow, модифікаціяauthorized_keys, зʼєднання зtac.vpnla.org - GPUStack: оновити до версії 2.2.0 або новішої. Перевірити наявність невідомих API-ключів адміністратора та користувацьких бекендів
- FreeSWITCH: оновити до версії 1.11.3 або новішої. Обмежити вхідний SIP-трафік довіреними джерелами
- IBM Aspera Faspex: оновити до версії 5.0.19 PL1
Індикатори компрометації (за даними GreyNoise)
IP-адреси, повʼязані з експлуатацією SSHole:
183.220.91.15,196.128.138.201,20.255.63.133,20.2.81.241152.175.65.88,202.155.94.33,47.80.65.43,209.248.50.17157.15.77.139,103.140.130.248,79.116.138.30
Домен C2: tac.vpnla.org
З огляду на вкрай стислі строки усунення (12 листопада 2026 року для федеральних агентств), організаціям варто передусім перевірити наявність OpenSSH на musl-системах і доступність GPUStack та FreeSWITCH із зовнішніх мереж — саме ці три вектори мають підтверджену експлуатацію й несуть найбільший ризик компрометації просто зараз.
