La falla permite acceso sin contraseña en configuraciones específicas de Linux. Previdian detectó intentos de explotación en honeypots horas después de la divulgación pública.
Una vulnerabilidad crítica en OpenSSH identificada como CVE-2026-123158 está siendo explotada de forma activa por atacantes apenas horas después de su divulgación pública, según reportó Previdian. La falla, que recibió el nombre clave SSHole, permite el acceso a cuentas de usuario que no tienen contraseña configurada en sistemas Linux que ejecutan OpenSSH sobre la biblioteca musl C con PAM (Pluggable Authentication Modules) deshabilitado. El vector de ataque es directo: en esa configuración específica, OpenSSH no valida correctamente la ausencia de credenciales y permite la autenticación.
El puntaje CVSS de 8.1 refleja la severidad del impacto cuando se cumplen las condiciones técnicas necesarias. La combinación de musl C library — una alternativa ligera a glibc, común en distribuciones embebidas y contenedores Alpine Linux — con PAM deshabilitado crea un escenario donde la lógica de autenticación falla silenciosamente. No es una configuración mayoritaria en servidores de producción tradicionales, pero sí aparece con frecuencia en entornos de contenedores, dispositivos IoT con Linux embebido y sistemas minimalistas donde musl se elige por su tamaño reducido.
Por qué la explotación fue inmediata
Previdian detectó intentos de explotación en su infraestructura de honeypots en un plazo de horas desde la publicación del CVE. Esto no es inusual en vulnerabilidades de infraestructura crítica con exploit trivial: los atacantes escanean rangos de IP en busca de servicios SSH expuestos y prueban el vector de acceso sin contraseña de forma automatizada. La ventana entre divulgación y explotación masiva en este tipo de fallas se mide en horas, no en días.
La rapidez de la respuesta atacante se explica por dos factores. Primero, OpenSSH es un objetivo de alto valor: está presente en prácticamente toda infraestructura Linux con acceso remoto, desde servidores cloud hasta dispositivos de red. Segundo, el exploit no requiere ingeniería sofisticada — si el sistema cumple las condiciones (musl + PAM deshabilitado + cuenta sin contraseña), el acceso es directo. No hay necesidad de cadenas de explotación complejas ni de evasión de mitigaciones de memoria.
Dónde está el riesgo real en América Latina
El impacto en la región no es uniforme. Los servidores tradicionales de producción en empresas medianas y grandes de Argentina, Brasil, Chile o México suelen ejecutar distribuciones basadas en glibc (Ubuntu Server, Red Hat, Debian) con PAM habilitado por defecto, lo que los deja fuera del alcance directo de CVE-2026-123158. El riesgo se concentra en tres áreas específicas.
Primero, infraestructura de contenedores. Alpine Linux, que usa musl por diseño, es la imagen base más popular en entornos Docker por su tamaño mínimo. Empresas en Brasil y México que desplegaron microservicios sobre Alpine sin revisar la configuración de PAM en las imágenes base pueden tener servicios SSH expuestos vulnerables. Segundo, dispositivos IoT y sistemas embebidos. Proveedores de telecomunicaciones en Colombia y Argentina que desplegaron equipos de red o gateways con Linux embebido sobre musl están en la zona de riesgo si esos dispositivos tienen SSH habilitado para gestión remota. Tercero, startups tecnológicas que priorizaron optimización de recursos en infraestructura cloud y eligieron distribuciones minimalistas sin auditoría de configuración de seguridad.
Nuestro análisis
CVE-2026-123158 es un recordatorio de que las vulnerabilidades de infraestructura básica no necesitan ser complejas para ser críticas. La falla no explota una corrupción de memoria ni un fallo de lógica críptica — simplemente expone una brecha en la validación de autenticación cuando se combinan decisiones de diseño específicas (musl en lugar de glibc, PAM deshabilitado). Esa combinación no es accidental: es el resultado de priorizar tamaño y simplicidad sobre defensa en profundidad, una decisión común en entornos donde el overhead de glibc y PAM se percibe como innecesario.
La explotación activa reportada por Previdian en menos de 24 horas confirma un patrón que ya vimos en vulnerabilidades previas de OpenSSH y otros componentes de infraestructura crítica: la ventana de oportunidad para parchear antes de la explotación masiva es cada vez más estrecha. Los equipos de seguridad en la región que todavía operan con ciclos de parcheo mensuales o trimestrales van a llegar tarde. La pregunta no es si esta falla va a ser explotada en producción en América Latina — es cuántos sistemas vulnerables van a ser comprometidos antes de que las organizaciones terminen de mapear dónde tienen musl desplegado.