Por dez anos, milhões de sistemas rodando OpenSSH estiveram vulneráveis a ataques críticos, permitindo o sequestro de sessões e a interceptação de credenciais. A Qualys Threat Research Unit (TRU) revelou as falhas nesta terça-feira, no mesmo dia em que foi lançada a versão corrigida OpenSSH 9.9p2.
A primeira falha (CVE-2025-26465) permite ataques man-in-the-middle, onde hackers podem se passar por servidores legítimos e capturar dados sensíveis, comprometendo a integridade da conexão SSH. O problema afeta todas as versões do OpenSSH desde 6.8p1 (2014).
A segunda vulnerabilidade (CVE-2025-26466) expõe o OpenSSH a ataques de negação de serviço (DoS), impedindo administradores de acessarem servidores remotos e causando paralisações críticas em ambientes corporativos. O bug foi introduzido em agosto de 2023.
O OpenBSD Project reconheceu os problemas e lançou uma correção urgente na versão 9.9p2. Pesquisadores da Qualys divulgaram um prova de conceito dos ataques, reforçando que todos os usuários devem atualizar seus sistemas imediatamente para evitar brechas de segurança.
