Az amerikai Cybersecurity and Infrastructure Security Agency (CISA) hétfőn négy olyan biztonsági hibát vett fel a Known Exploited Vulnerabilities (KEV) katalógusába, amelyek a GPUStack, a SignalWire FreeSwitch, az OpenBSD OpenSSH és az IBM Aspera Faspex rendszereket érintik. A döntést az aktív kihasználásra utaló bizonyítékokkal indokolták.

A sebezhetőségek a következők:

• CVE-2026-123218 (CVSS pontszám: 9,8) – Jogosultságkezelési hiba az IBM Aspera Faspexben, amely lehetővé teszi, hogy egy hitelesített felhasználó speciálisan összeállított üzenettel megkerülje az engedélyezést, és így jogosultságot szerezzen magasabb szintű műveletekhez. A hibát 2026 novemberében javították.
• CVE-2026-116779 (CVSS pontszám: 9,8) – Kódbefecskendezési sebezhetőség a SignalWire FreeSwitchben, amely konfigurációs és hitelesítési adatok kiszivárgásához, tetszőleges hívásvezérléshez és parancsvégrehajtáshoz vezethet. A hibát 2026 októberében javították.
• CVE-2026-123158, más néven SSHole (CVSS pontszám: 8,1) – Váratlan státuszkódot vagy visszatérési értéket okozó sebezhetőség a Linuxon futó OpenBSD OpenSSH-ben, amely hitelesítés megkerülését teheti lehetővé. A hibát 2026 novemberében javították.
• CVE-2026-102895 (CVSS pontszám: 9,8) – Helytelen hitelesítési sebezhetőség a GPUStackben, amely lehetővé teszi a jogosulatlan adminisztratív hozzáférést. Így többek között felhasználók és modellek módosítása, tartós adminisztrátori API-kulcs létrehozása, worker- és felhőszolgáltatói titkok kiszivárogtatása, valamint kódfuttatás válik lehetővé a POST /v2/inference-backends/from-yaml híváson keresztül. A hibát 2026 júliusában javították.

A CVE-2026-123158 KEV-katalógusba való felvételét az a jelentés előzte meg, hogy 2026. november 6. óta célzott támadási kísérletek irányulnak a hibára. A Previdian adatai szerint eddig összesen 22 támadási kísérletet regisztráltak 14 egyedi IP-címről.

A Defused Cyber 2026. november 7-én az X-en közzétett bejegyzésében azt írta, hogy „kevés támadót látott, akik az SSHole-t célozzák”, ugyanakkor hangsúlyozta, hogy a kihasználási aktivitás egyelőre nem széles körű.

A GreyNoise szerint az első kihasználási kísérletet a honeypot hálózatuk ellen 2026. november 7-én, 0:46-kor (UTC) észlelték. Eddig hat forrás IP-címről azonosítottak megerősített, a sikeres kihasználást követő aktivitást, összesen 18 különálló támadási láncban.

A támadások felderítést, felhő-metadata szolgáltatások lekérdezését, jelszó-hash-ek és root SSH-kulcsok kiolvasására tett kísérleteket, valamint az SSH authorized_keys fájl módosítására irányuló próbálkozásokat tartalmaznak a tartós hozzáférés megszerzése érdekében.

Legalább egy esetben ismeretlen támadók TAC Agentet telepítettek, egy Python-alapú command-and-control (C2) ügynököt, amely képes shell parancsok futtatására, a rendszer felderítésére, könyvtárak bejárására, fájlok átvitelére, valamint saját frissítésére.

A watchTowr kiberfenyegetettség-elemző cég közölte, hogy a szabadban is megfigyelte az OpenSSH-hiba fegyverré alakítását botnetek és kriptobányászok telepítésére.

A CVE-2026-102895-höz kiadott, 2026. július 31-én közzétett figyelmeztetésben a GPUStack Python csomag karbantartói Nikko Enggalianót, Wei Yunzhout, Rui Yangot és Haoyu Wangot nevezték meg, akik egymástól függetlenül jelentették a hibát. Hozzátették, hogy az „aktív, a szabadban zajló kihasználásról” Javier Sixto, az Ulex Innovative Systems munkatársa számolt be.

Jelenleg nem érhetők el nyilvános jelentések arról, hogyan használják ki a többi sebezhetőséget, kik állnak a támadások mögött, és mekkora ezeknek a műveleteknek a kiterjedése. A szövetségi polgári végrehajtó szerveknek (FCEB) azt javasolják, hogy legkésőbb 2026. november 12-ig telepítsék a javításokat.