OpenSSH'de kritik açık: yama çıktı, istismar 9 saatte başladı

OpenSSH geliştiricileri 5 Kasım 2026'da 10.6p2 sürümünü yayımlayarak "SSHole" adı verilen kritik bir kimlik doğrulama açığını kapattı. CVE-2026-123158 kodlu açık, saldırganın parolası devre dışı bırakılmış hesaplara, yani root'a, yalnızca anahtarla giriş yapan dağıtım kullanıcılarına ve bazı LDAP hesaplarına uzaktan ve parola bilmeden giriş yapmasına izin veriyor. The Hacker News'in aktardığı CVSS puanı 8.1.

Teknik kök neden şaşırtıcı biçimde eski. 2016'da kullanıcı adı sızdırma açığı (CVE-2016-6210) için eklenen bir yama, belirli koşullarda parola özetleme işleminin başarısız olup "*" döndürmesine yol açıyor. "*" aynı zamanda parolası kapatılmış hesapların işareti olduğu için sshd eşleşme görüyor ve girişe izin veriyor. Saldırganın yapması gereken tek şey 257 bayttan uzun bir parola göndermek.

Kimler etkileniyor, kimler etkilenmiyor

Açık yalnızca musl C kütüphanesi ile derlenmiş ve parola doğrulamasını PAM üzerinden yapmayan Linux sistemlerini etkiliyor. Alpine Linux'un varsayılan openssh-server paketi bu şekilde derleniyor; OpenWrt, Buildroot ve Yocto tabanlı sistemler ile çok sayıda Docker imajı da aynı sınıfta. Debian, Ubuntu, Fedora gibi glibc tabanlı dağıtımlar, PAM kullanan kurulumlar, Dropbear ve OpenBSD ise etkilenmiyor.

Neden acele etmek gerekiyor

Help Net Security, ilk istismar denemesinin CVE yayımlanmasından dokuz saat geçmeden görüldüğünü aktarıyor; güvenlik firması Previdian bir Alpine Linux bal küpünde saldırganın root yetkisi aldığını doğruladı. The Hacker News'e göre deneme sayısı 8 Kasım'da dokuz ülkeye yayılmış 13 ayrı IP adresinden gelen 20 denemeye çıktı. ABD'li CISA açığı 9 Kasım 2026'da aktif istismar edilen zafiyetler kataloğuna ekledi ve federal kurumlar için son yama tarihini 12 Kasım 2026 olarak belirledi.

Türkiye ve KOBİ tarafındaki karşılığı

Türkiye'deki birçok KOBİ "biz Alpine kullanmıyoruz" diye düşünüyor; oysa Alpine, konteyner imajlarının en yaygın temel katmanlarından biri. Ofisteki bir Docker sunucusu, kendi geliştirdiğiniz bir uygulamanın imajı, bir yedekleme ajanı ya da NAS üzerinde çalışan bir eklenti sessizce Alpine tabanlı olabilir. Aynı durum şube ve saha kurulumlarındaki OpenWrt tabanlı yönlendiriciler ve gömülü cihazlar için de geçerli. Bu cihazların çoğu yama takvimi dışında kaldığı için risk uzun süre açık kalıyor.

İşin bir de hukuki tarafı var. Sunucusuna root erişimi alınan bir kurumda kişisel veri işleniyorsa bu bir veri ihlali sayılır ve 6698 sayılı kanun kapsamında Kurula bildirim yükümlülüğü doğar. Bu yüzden yama kadar geriye dönük inceleme de önemli: yamayı kurup olayı kapatmak, giriş yapılmış olup olmadığını araştırmanın yerine geçmez.

Kamer Bilişim olarak ne öneriyoruz?

• Envanterinizi musl ve Alpine üzerinden tarayıp sürüm yükseltin. Konteyner imajlarınızda ve gömülü cihazlarınızda çalışan OpenSSH sürümünü çıkarın; 10.6p2 öncesi olan her yerde dağıtımın yamalı paketini kurun. Paketi kurmak çalışmakta olan sshd servisini etkilemiyor, bu yüzden servisi yeniden başlatmayı atlamayın; aksi halde açık kapanmış olmaz.
• Parola ile SSH girişini tamamen kapatın. OpenSSH geliştiricilerinin de önerdiği gibi PasswordAuthentication ayarını kapalı konuma getirin ve yalnızca anahtar tabanlı erişime izin verin. SSH ve yönetim arayüzlerinin internete açık kalması çoğu kurumda gerekli değil; bunları VPN veya güvenlik duvarı arkasına alın.
• İhlal olup olmadığını kanıtlayın. Günlüklerde, parolasız olması gereken hesaplar için "Accepted password for" kayıtlarını arayın; yeni açılmış kullanıcıları, authorized_keys dosyalarını ve doas ile sudo kullanımını gözden geçirin. Girişin olmadığını kanıtlayamadığınız makineyi ele geçirilmiş kabul edip yeniden kurmak en güvenli yol.

Sunucu ve konteyner envanteriniz için bu kontrolleri birlikte yapmamızı isterseniz iletişim sayfamızdan bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer lokasyonlarda uzaktan destek veriyoruz.

Kaynak: The Hacker News, Help Net Security, CISA Known Exploited Vulnerabilities Catalog