حذّر باحثون في الأمن السيبراني من ثغرة خطيرة في برنامج OpenSSH، أداة الدخول الآمن عن بُعد الأكثر استخداماً في خوادم لينكس، تسمح بتسجيل الدخول إلى بعض الحسابات دون كلمة مرور على أنظمة معينة، وقد بدأ استغلالها فعلياً خلال ساعات من الكشف عنها.
ما هي الثغرة؟
تحمل الثغرة الرمز CVE-2026-123158، وأطلق عليها الباحثون لقب «sshole». ووفق ما نقلته نشرة الأخبار التقنية في موقع AskSumanta عن Help Net Security وشركة OX Security، فإنها تتيح للمهاجمين الدخول عبر SSH دون كلمة مرور إلى حسابات معينة على أنظمة لينكس المبنية على مكتبة musl للغة C والتي لا تستخدم نظام PAM للمصادقة، وأبرزها توزيعة Alpine Linux.
وأصدر مطورو OpenSSH إصلاحاً في الإصدار 10.6p2 يوم 5 نوفمبر 2026. وبحسب Help Net Security، بدأ الاستغلال خلال ساعات من الإعلان، واستهدف أساساً الحسابات التي لا تملك كلمة مرور صالحة للاستخدام، مثل حسابات المستخدمين الذين يعتمدون على المفاتيح فقط.
من المتأثر ومن الآمن؟
تشير التقارير إلى أن التوزيعات المبنية على مكتبة glibc، مثل Debian وUbuntu وFedora، غير متأثرة بهذه الثغرة. لكن خطورتها تكمن في انتشار Alpine Linux الواسع؛ فهي الأساس الشائع لصور الحاويات (Containers) وكثير من الأجهزة الشبكية وصور الخوادم السحابية، وكثيراً ما تعمل في أماكن لا يتعامل معها أصحابها على أنها «خادم» يحتاج إلى متابعة.
ماذا يفعل مديرو الأنظمة؟
ينصح المختصون بالخطوات التالية:
- حصر كل الأنظمة المبنية على Alpine أو غيرها من الأنظمة المعتمدة على musl والتي تشغّل خدمة sshd.
- الترقية إلى OpenSSH 10.6p2 وإعادة بناء صور الحاويات.
- تعطيل المصادقة بكلمة المرور أو إيقاف SSH كلياً حيث لا حاجة إليه إلى حين التحديث.
- على المدى البعيد، تجنب تشغيل SSH داخل الحاويات أصلاً، وتخصيص مسار إدارة منفصل ومحكم.
أسبوع مزدحم بالتحذيرات الأمنية
وتأتي هذه الثغرة ضمن أسبوع حافل بالأخبار الأمنية؛ إذ أضافت وكالة الأمن السيبراني الأمريكية CISA في 6 نوفمبر ثغرة مستغلة في شبكات SonicWall الافتراضية (CVE-2026-19868) إلى قائمة الثغرات المستغلة فعلياً، كما عرض باحثون كيف يمكن لإضافة متصفح خبيثة أن توجه تطبيق Claude Desktop لتنفيذ أوامر عبر ميزة Dispatch، مؤكدين أنهم لم يرصدوا هجمات فعلية بهذه الطريقة.
المصادر: AskSumanta (نقلاً عن Help Net Security وOX Security)، Apply Coding (نقلاً عن CISA).
