OpenSSH Bocor Hacker Bisa Masuk Tanpa Password

OpenSSH Bocor Hacker Bisa Masuk Tanpa Password – OpenSSH merupakan salah satu perangkat lunak yang banyak digunakan untuk mengakses dan mengelola server Linux dari jarak jauh melalui protokol Secure Shell (SSH).

Karena sering menjadi pintu masuk administrator ke sistem, keamanan OpenSSH sangat penting untuk melindungi server dan infrastruktur perusahaan.

Namun, sebuah kerentanan keamanan yang baru diungkap pada November 2026 memungkinkan penyerang melewati proses autentikasi dalam kondisi tertentu.

Celah yang dikenal sebagai SSHole ini dapat memberikan akses ke akun yang memang dikonfigurasi tanpa kata sandi yang dapat digunakan untuk login.

Kerentanan tersebut tercatat sebagai CVE-2026-123158 dengan skor CVSS 8.1 (High). Peneliti keamanan menemukan bahwa penyerang tidak perlu mencuri kata sandi maupun kunci SSH korban untuk mengeksploitasinya.

Cukup dengan mengirimkan kata sandi berukuran tertentu, penyerang dapat memicu kesalahan dalam proses autentikasi OpenSSH.

Bagaimana SSHole Bekerja?

SSHole memengaruhi sistem Linux yang menjalankan OpenSSH dengan pustaka C musl dan menonaktifkan Pluggable Authentication Modules (PAM). Salah satu konfigurasi yang terdampak adalah konfigurasi bawaan server OpenSSH pada Alpine Linux.

Masalahnya berkaitan dengan cara OpenSSH menangani kata sandi dan proses hashing. Dalam kondisi normal, kata sandi yang dimasukkan pengguna akan diproses melalui fungsi hashing sebelum dibandingkan dengan informasi autentikasi yang tersimpan di sistem.

Namun, pada kondisi tertentu, kegagalan proses hashing justru menghasilkan nilai tanda bintang (*). Nilai tersebut juga digunakan untuk menandai akun yang kata sandinya dinonaktifkan pada tingkat sistem.

Akibat kesalahan penanganan tersebut, OpenSSH dapat menganggap proses autentikasi berhasil ketika nilai hasil hashing yang gagal dibandingkan dengan tanda bintang pada kolom kata sandi akun.

Untuk memicu kondisi ini, penyerang mengirimkan kata sandi berukuran antara 257 hingga 1.024 byte. Ukuran tersebut menyebabkan proses hashing gagal dan menghasilkan nilai yang keliru ditafsirkan sebagai kecocokan.

Meski demikian, eksploitasi tidak berlaku untuk semua akun. Penyerang harus menemukan akun yang memiliki tanda bintang (*) sebagai nilai hash kata sandinya. Kerentanan ini tidak memungkinkan penyerang melewati autentikasi pada akun yang memiliki hash kata sandi valid.

Apa Dampaknya bagi Sistem dan Perusahaan?

Keberhasilan eksploitasi memberikan akses ke akun yang terdampak dengan hak akses yang sudah dimiliki akun tersebut. Artinya, dampak serangan bergantung pada tingkat kewenangan akun yang berhasil diakses.

Jika akun tersebut memiliki hak akses terbatas, ruang gerak penyerang juga dibatasi oleh izin yang tersedia. Namun, jika akun memiliki hak administratif atau akses ke komponen penting, risiko yang ditimbulkan dapat jauh lebih besar.

Setelah memperoleh akses, penyerang berpotensi melakukan pengintaian sistem, mengakses kredensial deployment, mengambil rahasia aplikasi, atau menjangkau infrastruktur lain yang terhubung.

Kondisi ini dapat membuka peluang pergerakan lateral, yaitu upaya memperluas akses dari satu sistem ke sistem lainnya.

Bagi perusahaan, akses tidak sah ke server dapat mengancam kerahasiaan data, mengganggu layanan, dan meningkatkan risiko kompromi terhadap sistem lain dalam jaringan.

Eksploitasi Terdeteksi Beberapa Jam Setelah Pengungkapan

Kerentanan SSHole dilaporkan telah dimanfaatkan oleh penyerang tidak lama setelah informasi mengenai CVE tersebut dipublikasikan.

Perusahaan intelijen ancaman Previdian menyatakan mendeteksi percobaan eksploitasi pertama kurang dari sembilan jam setelah publikasi CVE.

Dalam pengujian melalui honeypot yang menjalankan Alpine Linux dan OpenSSH, mereka juga mengonfirmasi keberhasilan akses hingga tingkat root.

Berdasarkan telemetri yang disampaikan Previdian, tercatat delapan percobaan eksploitasi dari sebuah alamat IP yang secara geografis teridentifikasi berada di Jepang.

Dalam aktivitas tersebut, penyerang mengirimkan kata sandi berukuran berlebihan untuk melewati autentikasi. Setelah memperoleh akses, mereka menjalankan sejumlah perintah pengintaian, seperti id, uname, dan hostname, melalui sesi SSH non-interaktif.

Perintah-perintah tersebut digunakan untuk memperoleh informasi dasar mengenai identitas pengguna, sistem operasi, dan nama host mesin yang berhasil diakses.

Temuan ini menunjukkan bahwa kerentanan tersebut bukan hanya berpotensi dieksploitasi secara teoritis, tetapi sudah menjadi sasaran percobaan Baca juga: Bahaya Tersembunyi di Ponsel Murahserangan di lingkungan yang terpantau.

Baca juga: Bahaya Tersembunyi di Ponsel Murah

Sistem apa saja yang terdampak?

SSHole tidak memengaruhi seluruh instalasi OpenSSH. Eksploitasi membutuhkan kombinasi kondisi tertentu, yaitu:

Sistem operasi berbasis Linux yang menggunakan pustaka C musl.
Menjalankan OpenSSH dalam konfigurasi yang terdampak.
PAM dinonaktifkan untuk proses autentikasi kata sandi.
Memiliki akun dengan tanda bintang (*) sebagai nilai hash kata sandi.

Selain konfigurasi tertentu pada Alpine Linux, kerentanan ini tidak berdampak pada Dropbear, distribusi Linux berbasis glibc, sistem operasi non-Linux, maupun sistem yang menggunakan PAM untuk memeriksa kata sandi.

Dengan demikian, administrator perlu memeriksa konfigurasi aktual server, bukan hanya mengandalkan nama distribusi Linux atau versi OpenSSH yang digunakan.

Langkah Mitigasi yang Perlu Dilakukan

OpenSSH telah mengatasi kerentanan ini melalui pembaruan OpenSSH 10.6p2. Pengguna disarankan segera memasang versi tersebut atau paket perbaikan yang disediakan oleh masing-masing distribusi Linux.

Beberapa langkah yang perlu dilakukan administrator antara lain:

Perbarui OpenSSH. Pasang OpenSSH 10.6p2 atau paket pembaruan resmi dari distributor Linux yang digunakan.
Restart layanan SSH. Setelah pembaruan selesai, mulai ulang layanan sshd agar versi yang telah diperbaiki benar-benar digunakan.
Periksa log autentikasi. Tinjau catatan pada /var/log/messages atau log SSH yang relevan. Perhatikan entri Accepted password for yang menunjukkan keberhasilan login pada akun yang seharusnya tidak menerima autentikasi menggunakan kata sandi.
Periksa akun dan aktivitas mencurigakan. Tinjau penggunaan doas, akun yang baru dibuat, perubahan berkas penting, serta penambahan kunci pada authorized_keys.
Evaluasi akses server. Pastikan hanya akun yang berwenang memiliki akses SSH dan hak istimewa sesuai kebutuhan operasional.
Selidiki kemungkinan kompromi. Jika ditemukan aktivitas login yang tidak dapat dijelaskan, jangan langsung menganggap server aman hanya karena pembaruan telah dipasang. Lakukan pemeriksaan lebih lanjut dan perlakukan mesin sebagai sistem yang mungkin telah dikompromikan jika akses tidak sah tidak dapat dikesampingkan.

Administrator Alpine Linux secara khusus juga disarankan memeriksa catatan login yang menunjukkan keberhasilan autentikasi kata sandi pada akun seperti alpine, root, atau akun lain yang seharusnya hanya menggunakan autentikasi berbasis kunci.

Jangan Abaikan Celah pada Layanan Akses Jarak Jauh

SSHole memperlihatkan bahwa kelemahan dalam proses autentikasi dapat membuka jalan bagi akses tidak sah, bahkan ketika sebuah akun sengaja dikonfigurasi tanpa kata sandi yang dapat digunakan untuk login.

Bagi organisasi yang mengandalkan SSH untuk mengelola server dan infrastruktur, pembaruan keamanan tidak boleh ditunda, terutama ketika eksploitasi sudah terdeteksi. Pemeriksaan log dan investigasi terhadap aktivitas mencurigakan juga sama pentingnya dengan memasang patch.

Mengamankan server bukan hanya soal menggunakan kata sandi yang kuat atau membatasi akses dari jaringan luar. Administrator juga perlu memastikan perangkat lunak, konfigurasi autentikasi, dan hak akses akun selalu diperiksa serta diperbarui secara berkala.

Baca artikel lainnya: