Para: quienes ejecutan sshd en Linux basado en musl, como Alpine (servidores, VPS, imágenes de Docker, routers y otros dispositivos integrados), el personal responsable de la infraestructura y quienes dejan la operación en manos de un contratista. Este artículo se basa en las notas de versión de OpenSSH, los registros CVE y NVD y el aviso de Alpine Linux. No incluye pasos de ataque.
En desarrollo: este artículo se actualizará a medida que se publique más información
- A quién afecta
quienes ejecutan sshd en Linux basado en musl, como Alpine (servidores, VPS, imágenes de Docker, routers y otros dispositivos integrados), el personal responsable de la infraestructura y quienes dejan la operación en manos de un contratista.
- Confirmado hasta ahoraVer la tabla ↓
- El problema
- CVE
- Alcance
1 más
- Correcciones de Alpine
- Aún sin confirmar
- Escala y éxito de la explotación (se comunican intentos, pero no se encontró verificación independiente)
- Si CISA lo añade al catálogo de vulnerabilidades explotadas conocidas (no figura en los datos actualizados el 4 de noviembre)
- La evaluación propia de NVD (aún no analizada el 6 de noviembre; la puntuación base de 8,1 procede del registro CVE)
1 más
- Situación de las distribuciones e imágenes distintas de Alpine (no se encontraron declaraciones oficiales)
- Qué hacer ahoraVer los pasos ↓
- Compruebe si sshd se ejecuta y qué libc y PAM usa
- Actualice y reinicie sshd
- Si no puede actualizar, desactive la autenticación por contraseña
2 más
- Reconstruya contenedores e imágenes en la nube
- Revise los registros de autenticación
- Dónde verificarlo (fuente)Todas las fuentes ↓
- OpenSSH Release Notes, 10.6p2 (5 de noviembre de 2026)
- Última comprobación
- A fecha del 7 de noviembre de 2026 (JST)
Próximos avisos y qué comprobamos
Las notas de versión de OpenSSH dicen que 10.6p2 (5 de noviembre de 2026) evita una elusión de la autenticación por contraseña explotable a través de sshd en algunos sistemas Linux compilados y ejecutados sin PAM. También dicen que la causa raíz está fuera de sshd. Está registrado como CVE-2026-123158.
Qué hacer hoy
Compruebe si sshd se ejecuta y qué libc y PAM usa
Primero vea si sshd se ejecuta en el equipo o en el contenedor. El aviso de Alpine da por no afectados los contenedores que no ejecutan sshd. Si se ejecuta, compruebe si es musl con ldd $(which sshd); en Alpine, cat /etc/os-release también se lo indica. Mire además UsePAM en sshd_config y si el paquete instalado es openssh-server (sin PAM) u openssh-server-pam.
Actualice y reinicie sshd
En Alpine, ejecute apk upgrade -U -a. Las versiones corregidas de los paquetes difieren según la rama (tabla más abajo). Actualizar el paquete no sustituye el demonio en ejecución, así que reinicie sshd y mantenga abierta una segunda sesión para no quedarse fuera.
Si no puede actualizar, desactive la autenticación por contraseña
Configure PasswordAuthentication no para que solo funcionen las claves y confírmelo con sshd -T | grep -i passwordauthentication. Antes asegúrese de que su clave funciona. Además, mantenga sshd fuera de internet y restrinja las direcciones de origen con un cortafuegos o un bastión. La gestión de claves se trata en Claves SSH con mínimo privilegio.
Reconstruya contenedores e imágenes en la nube
Si instala sshd en una imagen basada en Alpine, actualice la imagen base y el paquete openssh y reconstruya. Las instancias iniciadas a partir de imágenes antiguas deben actualizarse una a una, o reconstruirse a partir de una imagen corregida. El aviso de Alpine dice que sus imágenes oficiales en la nube (tiny-cloud) también tienen versiones afectadas.
Revise los registros de autenticación
Alpine aconseja buscar en registros como /var/log/messages inicios de sesión con contraseña aceptados en cuentas que no deberían tener contraseña: root, usuarios solo con clave y el usuario por defecto de las imágenes en la nube son los típicos. Si encuentra alguno, o los registros han desaparecido y no puede descartarlo, trate el equipo como comprometido y revise usuarios, claves, configuración y archivos. Consulte Cómo comprobar si un servidor muestra señales de intrusión y Qué hacer cuando se publica una vulnerabilidad.
musl, sin PAM, sshd expuesto
Máxima prioridad. Actualice y reinicie; hasta entonces desactive el inicio de sesión con contraseña
musl pero no expuesto
Actualice pronto. Restrinja los orígenes y revise los registros
Sin sshd, PAM activado o contraseñas desactivadas
No afectado según Alpine. Basta con la actualización normal
Qué han publicado OpenSSH y Alpine
El proyecto OpenSSH publicó Portable OpenSSH 10.6p2 el 5 de noviembre de 2026. Sus notas de versión empiezan diciendo que la versión contiene una solución alternativa de seguridad crítica para sistemas Linux que usan musl libc con PAM desactivado.
- Contenido
- Un cambio para evitar una elusión de la autenticación por contraseña explotable a través de sshd en algunos sistemas Linux compilados y ejecutados con PAM desactivado. Las notas consideran que la causa raíz está fuera de sshd pero se puede evitar en él
- Versión corregida
- Portable OpenSSH 10.6p2
- Quien lo comunicó
- Un investigador de una empresa privada de seguridad (según el crédito de las notas)
- Explotación
- Las notas no mencionan explotación
- Registro
- CVE-2026-123158, publicado el 5 de noviembre de 2026 (asignado por MITRE)
- Alcance
- OpenSSH anterior a 10.6p2, en Linux, cuando se usa musl libc sin PAM. Se da Alpine Linux como ejemplo
- Puntuación
- Puntuación base CVSS 3.1 de 8,1 (High), según el registro CVE. NVD mostraba la entrada como recibida el 6 de noviembre, sin análisis propio
- Anotación de CISA
- La evaluación de CISA adjunta al registro (SSVC) indica la explotación como prueba de concepto, automatizable como no, impacto técnico como total
- Afectado
- openssh-server (sin PAM), u openssh-server-pam con UsePAM no. Ramas 3.21 a 3.24 y edge, más las 3.16 a 3.20 sin soporte (3.21 terminó su soporte el 1 de noviembre). Imágenes oficiales en la nube (tiny-cloud) 3.18.11 a 3.24.3
- Condiciones (todas)
- PasswordAuthentication es yes (el valor por defecto de OpenSSH); una cuenta tiene un asterisco como campo de contraseña (root con PermitRootLogin yes, usuarios solo con clave, usuarios de un servicio de directorio, el usuario por defecto de tiny-cloud); y otra cuenta local tiene un hash de contraseña en formato $
- No afectado
- Contenedores que no ejecutan sshd, PasswordAuthentication no, openssh-server-pam con UsePAM yes; las cuentas bloqueadas (marcadas con !) no pueden iniciar sesión por sí solas; las configuraciones sin ninguna cuenta con hash en formato $ y las de cloud-init que escriben PasswordAuthentication no también quedan fuera del alcance
Versiones corregidas de Alpine (openssh)
| Rama | Versión corregida |
|---|---|
| edge | 10.6_p2-r0 |
| 3.24 | 10.3_p1-r2 |
| 3.23 | 10.2_p1-r1 |
| 3.22 | 10.0_p1-r11 |
| 3.21 | 9.9_p2-r1 |
| 3.20 | 9.7_p1-r6 |
| 3.19 | 9.6_p1-r3 |
| 3.18 | 9.3_p2-r4 |
| 3.17 | 9.1_p1-r7 |
| 3.16 | 9.0_p1-r6 |
Alpine mantiene el número de versión de cada rama y distribuye una compilación parcheada del paquete, por lo que la corrección no siempre supone pasar a 10.6p2. Las imágenes tiny-cloud corregidas son 3.21.10, 3.22.8, 3.23.8 y 3.24.4 y posteriores.
Explotación
Lo que este sitio pudo confirmar a fecha del 7 de noviembre de 2026:
- OpenSSH y Alpine
- Ninguno menciona explotación
- KEV
- No figura en el KEV de CISA (los datos consultados se actualizaron el 4 de noviembre a las 20:00 UTC)
- Evaluación de CISA
- El SSVC del registro CVE indica prueba de concepto, lo cual es distinto de una explotación observada. La prensa también informó de que se ha publicado una prueba de concepto (no se enlaza aquí)
- Informe privado
- Help Net Security (6 de noviembre) informa de que una empresa privada de inteligencia de amenazas vio intentos de ataque menos de nueve horas después de la publicación, incluida una sesión de root en su propio entorno de monitorización. La propia página de la empresa dice que su etiqueta confirmed no significa que un intento tuviera éxito. El artículo recoge las declaraciones de la empresa e informa de ocho intentos desde un único origen, captados por un sensor. La página de la propia empresa (a 6 de noviembre) cuenta 4 intentos en un sensor. Ambas cifras son pequeñas y no se encontró verificación independiente
Opinión de este sitio: las fuentes oficiales y el KEV no confirman la explotación, pero una empresa privada comunica intentos. Las cifras son pequeñas y no están verificadas. Aun así, como la información necesaria para atacar ya circula, no es aconsejable esperar a más informes. Actualice primero los sshd de Alpine expuestos a internet.
Qué se sabe y qué no
| Elemento | Qué se ha publicado | Estado |
|---|---|---|
| El problema | Una elusión de la autenticación por contraseña a través de sshd en algunos Linux sin PAM; evitada en 10.6p2 (OpenSSH) | Confirmado (OpenSSH) |
| CVE | CVE-2026-123158 (registro CVE) | Confirmado |
| Alcance | Anterior a 10.6p2, Linux, musl sin PAM; Alpine como ejemplo (registro CVE) | Confirmado (registro CVE) |
| Correcciones de Alpine | Paquetes corregidos para todas las ramas de 3.16 a edge (Alpine) | Confirmado (Alpine) |
| Condiciones | Autenticación por contraseña activada; una cuenta con asterisco y otra con hash en formato $ a la vez (Alpine) | Descripción de Alpine |
| glibc (familias Debian, RHEL) | Las fuentes oficiales limitan el alcance a musl sin PAM; las afirmaciones de que glibc es seguro aparecen solo como declaración de un investigador recogida por la prensa | Sin declaración oficial explícita |
| Otros sistemas con musl | La prensa, recogiendo a un investigador, citó otros sistemas con musl y usos integrados como dignos de revisar; no se encontraron declaraciones de distribuciones | No confirmado |
| Puntuación numérica | 8,1 del registro CVE; NVD aún no la ha analizado | Parcial |
| Explotación | Intentos comunicados por una empresa privada; no se encontró verificación independiente | Comunicado (no verificado) |
| CISA KEV | No figura en los datos actualizados el 4 de noviembre | No incluido |
Si otra persona gestiona sus servidores
Si usa los servidores, VPS o la plataforma de contenedores de un contratista, pregunte tres cosas.
- ¿Se ejecuta sshd y, si es así, está basado en musl (como Alpine) sin PAM?
- ¿Se actualizó a 10.6p2 o al paquete corregido de la distribución y se reinició sshd? ¿Cuándo?
- ¿Se permite la autenticación por contraseña y se puede llegar a sshd desde internet?
Opinión de este sitio: no deje abierta la puerta de la contraseña
Con la autenticación por contraseña desactivada y solo claves, Alpine indica que este problema no le afecta. Una puerta dejada abierta por comodidad es la que acaba usándose. Además de actualizar, revise si sshd está expuesto y para qué se usan las cuentas con un asterisco en el campo de contraseña. Para priorizar, consulte Cómo priorizar vulnerabilidades (CVSS, EPSS, KEV).
Cronología
5 de noviembre de 2026
OpenSSH publica Portable OpenSSH 10.6p2 con la solución alternativa. Alpine Linux publica un aviso y paquetes corregidos. Se publica CVE-2026-123158.6 de noviembre
NVD recibe el registro (aún sin análisis propio). Help Net Security informa de que una empresa privada de inteligencia de amenazas vio intentos de ataque menos de nueve horas después de la publicación.7 de noviembre
Este sitio consultó las notas de versión de OpenSSH, los registros CVE y NVD, el aviso de Alpine y el KEV. No figura en el KEV.
Fuentes (registros públicos)
Consultadas el 7 de noviembre de 2026. Las fuentes oficiales van primero.
- OpenSSH Release Notes, 10.6p2 (5 de noviembre de 2026) — openssh.org
- Alpine Linux, OpenSSH password authentication bypass (5 de noviembre de 2026) — alpinelinux.org / rastreador de seguridad
- CVE-2026-123158 (publicado el 5 de noviembre de 2026) — cve.org / nvd.nist.gov
- Catálogo de vulnerabilidades explotadas conocidas de CISA (consultado el 7 de noviembre; datos actualizados el 4 de noviembre) — cisa.gov / JSON
- Reportaje de prensa (recoge declaraciones de una empresa privada; no se encontró verificación independiente): Help Net Security (6 de noviembre de 2026) — helpnetsecurity.com
Historial de actualizaciones
2026-11-07: Primera versión, basada en las notas de versión de OpenSSH 10.6p2, los registros CVE y NVD y el aviso de Alpine. A fecha del 7 de noviembre, no figura en el KEV. Una empresa privada comunica intentos de ataque (no verificados).
Lectura recomendada
- Higiene de SSH: Claves SSH con mínimo privilegio
- Comprobar una intrusión: Cómo comprobar si un servidor muestra señales de intrusión
- Tras una divulgación: Qué hacer cuando se publica una vulnerabilidad / Cómo priorizar vulnerabilidades (CVSS, EPSS, KEV)
- Preparación: Lista de verificación del inventario de seguridad
- Glosario: ¿Qué es un CVE?