Theo ghi nhận của GameN Pro, một lỗ hổng bảo mật nghiêm trọng mang định danh CVE-2026-123158 (được cộng đồng đặt tên là *sshole hoặc SSHhole) với điểm đánh giá nguy cơ CVSS 8.1 vừa được công bố vào ngày 5/11/2026. Lỗ hổng này cho phép kẻ tấn công vượt qua rào cản xác thực mật khẩu trên các bản phân phối Linux chạy thư viện musl libc như Alpine Linux, OpenWrt, Void Linux, Buildroot và Yocto chỉ bằng cách nhập một chuỗi mật khẩu ngẫu nhiên dài từ 257 đến 1.024 ký tự.

Nguyên nhân gốc rễ bắt nguồn từ sự tương tác sai lệch mang tính dây chuyền giữa trình nền OpenSSH và hàm băm mật khẩu crypt() của thư viện musl libc. Trong tập tin quản lý tài khoản /etc/shadow, ký tự dấu hoa thị "*" từ lâu đã được sử dụng như một quy ước chuẩn đại diện cho các tài khoản không đặt mật khẩu (như tài khoản chỉ dùng SSH Key, tài khoản hệ thống hoặc người dùng mặc định). Do chuỗi "*" quá ngắn để chứa thành phần muối (salt), OpenSSH đã chủ động “mượn” salt từ một tài khoản hợp lệ khác trên hệ thống để thực hiện phép băm nhằm ngăn chặn kỹ thuật dò quét tên người dùng (username enumeration). Tuy nhiên, hàm crypt() của musl libc lại áp đặt giới hạn độ dài mật khẩu tối đa 256 byte đối với các định dạng băm SHA-512/256 để chống tấn công từ chối dịch vụ (DoS); khi người dùng nhập mật khẩu vượt quá 256 byte, hàm này sẽ trả về chuỗi lỗi "*" thay vì trả về giá trị rỗng (NULL).

Hệ quả tai hại xảy ra khi OpenSSH so sánh chuỗi lỗi "*" do musl libc trả về với giá trị "*" lưu trong hồ sơ tài khoản mục tiêu. Phép so sánh trả về kết quả trùng khớp hoàn hảo, khiến dịch vụ SSH lầm tưởng người dùng đã nhập đúng mật khẩu và cấp quyền truy cập ngay lập tức. Đáng lo ngại nhất là trường hợp của Alpine Linux – nền tảng container mặc định trên hàng triệu cụm máy chủ Docker, Kubernetes và máy ảo đám mây AWS hay Azure. Trên các ảnh đám mây của Alpine, tài khoản mặc định alpine không có mật khẩu (mang giá trị "*") nhưng lại được cấp quyền thực thi lệnh quản trị tối cao (doas/sudo) không cần mật khẩu, mở toang quyền kiểm soát root cho kẻ tấn công.

Lỗ hổng chỉ xuất hiện khi hội tụ đủ các điều kiện: hệ thống chạy OpenSSH liên kết với musl libc, không kích hoạt cơ chế PAM (UsePAM no – cấu hình mặc định trên Alpine), tính năng xác thực mật khẩu đang mở (PasswordAuthentication yes), có ít nhất một tài khoản mang giá trị "*" và một tài khoản khác có chuỗi băm thực tế. Ngay sau khi sự cố bị phơi bày, OpenSSH đã khẩn cấp phát hành bản vá 10.6p2 từ chối so sánh nếu trường mật khẩu ngắn hơn 4 ký tự, đồng thời đội ngũ Alpine Linux đã tung bản cập nhật vá lỗi ngược về tận nhánh 3.16. Các chuyên gia khuyến cáo quản trị viên cần cập nhật gói openssh và khởi động lại dịch vụ sshd ngay lập tức, hoặc tạm thời vô hiệu hóa đăng nhập bằng mật khẩu bằng cách thiết lập PasswordAuthentication no trong cấu hình.

Theo đánh giá của GameN Pro, sự cố hy hữu này là bài học đắt giá về sự xung đột giữa các quy chuẩn kỹ thuật độc lập khi được tích hợp vào cùng một hệ sinh thái mã nguồn mở. Bằng việc phơi bày lỗ hổng nghiêm trọng trên một trong những bản phân phối container phổ biến nhất thế giới công nghệ, CVE-2026-123158 gióng lên hồi chuông cảnh báo khẩn cấp buộc các kỹ sư hệ thống phải lập tức rà soát lại nhật ký xác thực và siết chặt chính sách bảo mật khóa SSH cho toàn bộ hạ tầng máy chủ nội bộ.