1 artículo con esta etiqueta
El 5 de noviembre de 2026 OpenSSH publicó la versión 10.6p2 con una solución alternativa crítica para una elusión de la autenticación por contraseña en sshd en algunos sistemas Linux compilados y ejecutados sin PAM, en particular los que usan musl libc. El CVE es CVE-2026-123158 (puntuación base CVSS 3.1 de 8,1, según la propia puntuación del registro CVE). Alpine Linux publicó el mismo día un aviso con paquetes corregidos para todas las ramas. Según Alpine, un equipo está afectado cuando la autenticación por contraseña está activada, una cuenta tiene un asterisco en el campo de contraseña y otra cuenta tiene un hash normal. Las configuraciones con PAM activado, con PasswordAuthentication no, o los contenedores que no ejecutan sshd no están afectados. El KEV de CISA no lo incluía a fecha del 7 de noviembre. Una empresa privada de inteligencia de amenazas habría visto intentos de ataque menos de nueve horas después de la publicación, pero no se encontró verificación independiente. Conclusión de este sitio: compruebe si sshd se ejecuta sobre musl sin PAM, actualice a 10.6p2 o al paquete corregido de su distribución y reinicie sshd, desactive la autenticación por contraseña hasta entonces y revise los registros de autenticación.