Kerentanan Kritis Linux Kernel Ancam SSH Key dan Shadow Password

Komunitas keamanan siber kembali dibuat waspada setelah munculnya kerentanan baru di Linux Kernel yang dinilai sangat berbahaya. Celah keamanan ini memungkinkan penyerang mendapatkan akses ke data sensitif seperti SSH private key hingga password hash pada sistem yang terdampak.

Baca Juga : Kerentanan cPanel dan WHM Ancam Server dengan Serangan DoS

Kerentanan tersebut dilacak dengan kode CVE-2026-46333 dan dijuluki sebagai “ssh-keysign-pwn”. Bug ini diketahui memengaruhi berbagai distribusi Linux populer yang banyak digunakan di server, cloud, maupun lingkungan enterprise.

Menariknya, ini bukan pertama kalinya Linux menghadapi masalah keamanan serius sepanjang tahun 2026. Sebelumnya, beberapa celah lain seperti Dirty Pipe, io_uring UAF, Copy Fail, Dirty Frag, hingga Fragnesia juga sempat menjadi perhatian besar di kalangan administrator sistem dan peneliti keamanan.

Kerentanan Linux Kernel “ssh-keysign-pwn”

Masalah utama berasal dari mekanisme kontrol akses ptrace di Linux Kernel, tepatnya pada fungsi __ptrace_may_access(). Fitur ini sebenarnya dirancang untuk membatasi bagaimana sebuah proses dapat memeriksa atau berinteraksi dengan proses lain di sistem.

Namun, terdapat kesalahan logika pada mekanisme pemeriksaan “dumpability” yang justru memunculkan kondisi berbahaya berupa race condition.

Secara sederhana, saat proses dengan hak akses tinggi seperti ssh-keysign atau chage sedang ditutup, ada jeda singkat ketika konteks memorinya telah dihapus (mm = NULL) tetapi file descriptor masih aktif. Pada celah waktu inilah penyerang lokal tanpa hak istimewa dapat memanfaatkan fungsi pidfd_getfd() untuk mencuri file descriptor tersebut.

Akibatnya, mekanisme keamanan yang seharusnya membatasi akses bisa dilewati begitu saja dan penyerang dapat membaca file sensitif tanpa izin.

Risiko yang Ditimbulkan

Peneliti keamanan, termasuk dari Qualys, memperingatkan bahwa dampak kerentanan ini sangat serius. Beberapa risiko utama yang bisa terjadi antara lain:

• Pencurian SSH private key yang memungkinkan penyerang menyamar sebagai sistem atau pengguna tertentu.
• Serangan Man-in-the-Middle (MitM) hingga SSH key yang bocor diganti.
• Akses penuh ke file /etc/shadow yang berisi password hash pengguna Linux.
• Potensi lateral movement ke sistem lain menggunakan kredensial yang berhasil dicuri.

Yang membuat situasi semakin berbahaya adalah praktik penggunaan ulang SSH key di banyak server atau lingkungan berbeda. Artinya, satu sistem yang berhasil ditembus bisa membuka akses ke infrastruktur yang lebih luas.

Sistem yang Terdampak

Kerentanan ini memengaruhi sebagian besar distribusi Linux yang menggunakan kernel sebelum patch dirilis pada 14 Mei 2026, termasuk:

• Ubuntu
• Debian
• Arch Linux
• CentOS
• Raspberry Pi OS

Laporan awal menyebutkan bahwa bug ini kemungkinan sudah ada selama lebih dari enam tahun. Dengan kata lain, banyak deployment lama berpotensi masih rentan tanpa disadari.

Proof of Concept Sudah Beredar

Eksploit publik atau Proof of Concept (PoC) untuk “ssh-keysign-pwn” bahkan sudah tersedia di GitHub. PoC tersebut menunjukkan bagaimana penyerang dapat memanfaatkan race condition untuk mengambil file descriptor sebelum ditutup oleh sistem.

Eksploit ini diketahui menargetkan dua skenario utama:

1. Membaca SSH host private key dari:
   /etc/ssh/ssh_host_{ecdsa,ed25519,rsa}_key
2. Membaca file /etc/shadow melalui proses chage -l <user>

Berdasarkan analisis publik, eksploitasi biasanya berhasil dalam 100 hingga 2000 percobaan, sehingga dinilai cukup realistis untuk digunakan pada sistem nyata.

Baca Juga : Ransomware LockBit 5.0 Targetkan Windows, Linux hingga ESXi

Langkah Mitigasi yang Disarankan

Untuk mengurangi risiko, organisasi maupun administrator server disarankan segera mengambil langkah berikut:

• Menginstal patch kernel terbaru yang memperbaiki CVE-2026-46333.
• Mengganti seluruh SSH key, terutama pada sistem penting.
• Melakukan audit akses terhadap file sensitif seperti /etc/shadow.
• Memantau aktivitas mencurigakan terkait ptrace atau pidfd.
• Membatasi akses pengguna lokal jika memungkinkan.

Karena exploit publik sudah tersebar luas, kemungkinan serangan aktif di dunia nyata juga meningkat drastis. Situasi ini membuat proses patching menjadi sangat mendesak.

Dengan SSH yang menjadi tulang punggung akses aman di lingkungan cloud dan enterprise, kebocoran private key jelas bukan ancaman yang bisa dianggap sepele.