È stata resa pubblica una vulnerabilità di OpenSSH, battezzata con il soprannome poco elegante di *sshole, che consente di accedere via SSH ad account Linux con la password disabilitata. La configurazione con password disattivata è comune su server e apparati gestiti tramite chiavi: proprio questa diffusione rende la falla potenzialmente molto insidiosa.
Che cosa permette di fare
In condizioni normali l’accesso SSH a un account senza password è possibile solo con una chiave o un meccanismo di autenticazione alternativo. La vulnerabilità aggira questa protezione e apre una sessione verso il sistema, scavalcando il presupposto su cui molte configurazioni si basano. Non serve un errore dell’amministratore: basta una versione di OpenSSH non aggiornata.
Perché riguarda così tanti sistemi
OpenSSH è tra i software più diffusi al mondo. Gira su server fisici e virtuali, appliance di rete, sistemi embedded e dispositivi IoT che espongono una shell per la manutenzione. L’estensione della base installata spiega l’allarme: una falla in un componente così centrale non resta confinata a pochi ambienti.
Il fix e le reazioni
Gli sviluppatori hanno rilasciato un aggiornamento correttivo, e le distribuzioni stanno distribuendo le patch. La raccomandazione è la solita ma non per questo meno importante: applicare subito gli aggiornamenti, verificare le versioni esposte su Internet e limitare l’accesso SSH dove possibile. La vicenda è stata seguita anche dalla stampa specializzata, che ha collegato il caso alle correzioni d’emergenza su alcune distribuzioni Linux.
Per ridurre il rischio non basta aggiornare: serve sapere quali sistemi sono esposti. Un inventario aggiornato dei servizi raggiungibili da Internet e delle versioni in uso permette di capire in fretta dove intervenire e di dare priorità alle macchine più critiche. Senza questo quadro, l’applicazione delle patch diventa un’attività casuale, che lascia scoperte proprio le installazioni dimenticate.
Anche la configurazione conta. Limitare l’accesso SSH alle reti necessarie, disabilitare i servizi non utilizzati e imporre l’autenticazione con chiave o a più fattori riduce la superficie d’attacco. Sono misure semplici, ma proprio per questo spesso trascurate, che fanno la differenza quando una nuova vulnerabilità viene resa pubblica.
Un’ultima considerazione riguarda la tempestività. Quando una vulnerabilità di questo tipo diventa pubblica, il tempo tra l’annuncio e i tentativi di sfruttamento è spesso brevissimo. Avere un processo già definito — chi applica le patch, come si verifica l’avvenuto aggiornamento, come si monitorano i tentativi di accesso — riduce il rischio molto più di un intervento improvvisato a emergenza scoppiata.
In sintesi
La lezione è che i servizi di accesso remoto restano un bersaglio privilegiato: sono la porta d’ingresso dei sistemi e, proprio per questo, vanno tenuti aggiornati e protetti con autenticazione forte e accesso ristretto. Un inventario aggiornato dei sistemi esposti e un processo rapido di patch riducono la finestra di rischio. Per un check dell’esposizione SSH della propria infrastruttura, Ada Consulting può supportare le imprese nella verifica.
Fonte: Meet *sshole, the vulnerability that lets hackers SSH into Linux devices
https://arstechnica.com/security/2026/11/vulnerability-allows-attackers-to-log-into-some-linux-devices-sans-password