Nagaan wat via SSH bereikbaar is
Laat in kaart brengen welke servers en apparaten vanaf internet via SSH te bereiken zijn. Met onze Security Check zien wij dat van buitenaf, zoals een aanvaller het ook ziet.
Cybersecurity · 7 november 2026
Inloggen met een lang wachtwoord: OpenSSH-lek binnen negen uur misbruikt
Op 5 november verscheen OpenSSH 10.6p2 met een oplossing voor een lek met de naam SSHole. Negen uur later volgden volgens beveiligingsbedrijf Previdian de eerste aanvallen. Het lek raakt geen gewone kantoorcomputers, maar wel servers, containers, routers en apparaten op lichte Linux-varianten zoals Alpine Linux en OpenWRT. Precies het soort apparaten waar niemand naar omkijkt.
10.6p2De versie van OpenSSH met de oplossing
9 uurTot de eerste aanvallen
256 tekensEen wachtwoord langer dan dat opent de deur
BotnetsAanvallers installeren botnets en cryptominers
Kort
Vraag uw IT-partij en hostingpartij of er bij u servers, containers of apparaten op Alpine Linux, OpenWRT of een vergelijkbare lichte Linux draaien die via SSH bereikbaar zijn. Laat die bijwerken naar OpenSSH 10.6p2 en de SSH-dienst herstarten. Het NCSC adviseert SSH niet open op internet te zetten en inloggen met een wachtwoord uit te schakelen waar het niet nodig is.
Wat er speelt
Een lek in de deur van de server
SSH is de standaardmanier waarop beheerders op afstand inloggen op Linux-servers en netwerkapparatuur. Wie via SSH binnenkomt, heeft meestal de volledige controle.
Hoe het werkt
Op systemen die de lichte bibliotheek musl gebruiken, kon een aanvaller met een wachtwoord van meer dan 256 tekens inloggen op accounts die helemaal geen wachtwoord mogen gebruiken. Denk aan accounts die alleen met een sleutel werken, en op Alpine Linux ook het beheerdersaccount root.
Welke systemen geraakt worden
Het gaat om Linux-varianten op basis van musl: Alpine Linux, OpenWRT, Buildroot en Yocto. Alpine wordt veel gebruikt in containers voor websites en webapplicaties. OpenWRT, Buildroot en Yocto zitten in routers, camera's en andere apparaten. Gewone Windows-computers en de meeste grote Linux-varianten vallen er niet onder.
Wat aanvallers doen
Volgens beveiligingsbedrijf watchTowr maken aanvallers van overgenomen systemen een deel van een botnet of laten ze er cryptominers op draaien. Dat kost rekenkracht en stroom, en een overgenomen apparaat kan later voor zwaardere aanvallen worden gebruikt.
Bijwerken alleen is niet genoeg
Alpine Linux wijst erop dat de SSH-dienst na de update opnieuw moet worden gestart. Anders blijft de oude versie in het geheugen draaien. Bij containers betekent het: opnieuw bouwen met de nieuwe versie.
Wat u nu doet
Drie stappen
Bijwerken en herstarten
Werk OpenSSH bij naar 10.6p2 en herstart de dienst, of bouw containers opnieuw. Kan dat niet meteen, zet inloggen met een wachtwoord dan uit in de instellingen van SSH en herstart de dienst.
SSH van internet halen
Beheer hoort niet open op internet te staan. Beperk SSH tot vertrouwde netwerken of een VPN, en log alleen in met sleutels. Bij SOSO Hosting houden wij de servers voor u bij.
Vragen
Wat ondernemers ons hierover vragen
Moet ik iets doen op mijn eigen computer?
Nee. Het lek zit in de SSH-dienst op servers en apparaten die anderen laten inloggen. Op gewone Windows- en Mac-computers draait die meestal niet, en als het wel zo is, gaat het niet om musl.
Hoe weet ik of mijn router geraakt wordt?
Vraag het uw leverancier. Veel routers en netwerkapparaten draaien op OpenWRT of een vergelijkbare basis, maar lang niet allemaal hebben SSH aan of bereikbaar vanaf internet. Staat er bij de fabrikant een update klaar, installeer die dan.
Onze website draait in een container. Wat nu?
Vraag uw bouwer of de container op Alpine Linux is gebaseerd en of SSH erin draait. Meestal is dat niet zo, maar als het wel zo is, moet de container opnieuw worden gebouwd met de nieuwe versie.
Ook deze week
Ander nieuws dat u moet weten
Zyxel-switches gehackt
Zo'n duizend netwerkswitches van Zyxel uit de GS1900-serie in 48 landen zijn overgenomen. Zyxel bracht op 4 november een update uit. Veel getroffen switches gebruikten nog het standaardwachtwoord. Heeft u zo'n switch, installeer de nieuwe firmware en wijzig het wachtwoord.
SonicWall GMS krijgt geen patch meer
In het beheersysteem GMS van SonicWall zit een kritiek lek waarmee iemand zonder inlog gevoelige gegevens kan lezen. Er komt geen oplossing, omdat GMS sinds 30 september niet meer wordt ondersteund. Wie het nog gebruikt, moet overstappen.
Lek in Microsoft Paint
Microsoft dichtte een lek in Paint waarmee code op afstand kan worden uitgevoerd. Beheerders melden dat de Microsoft Store de nieuwe versie 11.2609.401.0 niet altijd levert. Laat het via apparaatbeheer controleren. Er is geen misbruik gemeld.
Bronnen: Security.NL over het OpenSSH-lek, 5 november 2026, en het misbruik, 6 november 2026; OpenSSH 10.6p2; Alpine Linux; NCSC; Security.NL over Zyxel, 5 november 2026, SonicWall, 4 november 2026, en Paint, 5 november 2026. De uitleg en de maatregelen hierboven zijn van ons.
Weet u wat er van buitenaf bereikbaar is?
Wij brengen in kaart welke servers en apparaten vanaf internet te bereiken zijn, welke diensten erop draaien en wat er bijgewerkt of dichtgezet moet worden. U krijgt een duidelijk overzicht, zonder verplichtingen.