対象：Alpine LinuxなどのmuslベースのLinuxでsshdを動かしている人（サーバー、VPS、Dockerイメージ、ルーターなどの組み込み機器）と、そのインフラ担当、運用を委託先に任せている人。本記事はOpenSSHの公式リリースノート、CVEとNVDの記録、Alpine Linuxの勧告にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
Alpine LinuxなどのmuslベースのLinuxでsshdを動かしている人（サーバー、VPS、Dockerイメージ、ルーターなどの組み込み機器）と、そのインフラ担当、運用を委託先に任せている人。
- 影響が確認された範囲表で見る ↓
- 問題の存在
- CVE
- 影響を受ける範囲
さらに1件
- Alpineの修正版
- 未確認事項
- 実際の悪用の規模と成否（攻撃の試みは報じられているが、第三者の検証は確認できていない）
- 米CISAのKEVへの追加（11月4日更新のデータでは未掲載）
- NVDの評価（11月6日時点で未評価。基本スコア8.1はCVE登録側の評価）
さらに1件
- Alpine以外の配布元・イメージの対応状況（各配布元の公式発表は確認できていない）
- 今やること手順を見る ↓
- sshdを動かしているか、libcとPAMを確かめる
- 版を確かめ、更新してsshdを再起動する
- 更新できないなら、パスワード認証を止める
さらに2件
- コンテナとクラウドイメージを作り直す
- 認証ログを点検する
- 最終確認日時
- 2026年11月7日（日本時間）時点
発表の続報予定と確認の記録
OpenSSHのリリースノートは、10.6p2（2026年11月5日）に、PAMなしのLinuxで起きうるパスワード認証バイパスを避ける変更を入れたと書いています。原因はsshdの外にあるとの見方も示されています。CVE-2026-123158として登録されています。
今日やること
sshdを動かしているか、libcとPAMを確かめる
まず、そのホストやコンテナでsshdが動いているかを見ます。sshdを動かさないコンテナは、Alpineの勧告で対象外とされています。動かしている場合は、ldd $(which sshd) などでmuslを使っているかを確かめます。Alpineなら cat /etc/os-release でも分かります。あわせて、sshd_configのUsePAMと、入れているパッケージがopenssh-server（PAMなし）かopenssh-server-pam（PAMあり）かを見ます。
版を確かめ、更新してsshdを再起動する
Alpineは apk upgrade -U -a で更新します。修正版は、下の表のとおりブランチごとに違います。パッケージを更新しただけでは、動いているsshdは新しくなりません。必ずsshdを再起動し、再起動前に別の接続を1本つないでおいて、締め出されないようにしてください。
更新できないなら、パスワード認証を止める
PasswordAuthentication no にして、鍵認証だけで入る運用にします。反映は sshd -T | grep -i passwordauthentication で確かめます。鍵で入れることを確かめてから、パスワード認証を止めてください。あわせて、sshdをインターネットに直接出さず、ファイアウォールや踏み台で接続元を絞ります。鍵の持たせ方は SSH鍵を最小権限で運用する で解説しています。
コンテナとクラウドイメージを作り直す
Alpineを土台にしたイメージにsshdを入れている場合は、ベースイメージと中のopensshを更新して作り直します。古いイメージから作ったインスタンスは、起動中の個体ごとに更新するか、新しい版から作り直してください。Alpineの勧告は、公式のクラウド用イメージ（tiny-cloud）にも該当する版があると書いています。
認証ログを点検する
Alpineの勧告は、/var/log/messagesなどの認証ログで、パスワードを持たないはずのアカウントへの「Accepted password」を探すよう勧めています。root、鍵だけのユーザー、クラウドイメージの既定ユーザーが典型です。見つかったとき、またはログが残っていなくて否定できないときは、そのホストを侵害された前提で、利用者・鍵・設定・ファイルを調べ直します。進め方は サーバーへの侵入の痕跡を確かめる と 脆弱性が公表されたときの対応手順 で解説しています。
musl・PAMなしでsshdを公開
最優先。更新して再起動、更新まではパスワード認証を止める
muslだが外には出していない
早めに更新。接続元を絞り、ログを点検
sshdなし、PAM有効、パスワード認証オフ
Alpineの勧告では対象外。通常の更新で足りる
公式発表の内容
OpenSSHプロジェクトは2026年11月5日にPortable OpenSSH 10.6p2を公開しました。リリースノートの冒頭は、この版が、muslを使いPAMを使わないLinuxに影響する重大なセキュリティ上の回避策を含むと説明しています。
- 内容
- PAMを無効にしてビルド・実行したLinuxの一部で、sshdを通じて起きうるパスワード認証バイパスを避ける変更。根本原因はsshdの外にあると考えるが、sshd側で避けられる、と書かれている
- 修正版
- Portable OpenSSH 10.6p2
- 報告者
- 民間のセキュリティ会社の研究者（リリースノートに記載）
- 悪用
- リリースノートに、悪用の記載はない
- 登録
- CVE-2026-123158。2026年11月5日に登録（割り当てはMITRE）
- 影響を受ける範囲
- 10.6p2より前のOpenSSH。Linuxで、PAMなしのmuslを使うとき。例としてAlpine Linuxが挙げられている
- 評価
- CVSS 3.1 基本スコア8.1（高）。評価はCVE登録側。NVDは11月6日時点で「受領」の状態で、独自の評価は付いていない
- CISAの付記
- CISAがCVE記録に付けた評価（SSVC）では、悪用は「概念実証あり（poc）」、自動化は不可、技術的影響は全面
- 対象
- openssh-server（PAMなし）、またはopenssh-server-pamでUsePAM no。3.21〜3.24とedge、サポート外の3.16〜3.20（3.21は11月1日にサポート終了）。公式のクラウド用イメージ（tiny-cloud）の3.18.11〜3.24.3
- 該当する条件（すべて）
- PasswordAuthenticationがyes（OpenSSHの既定）／パスワード欄が「*」のアカウントがある（rootにPermitRootLogin yesを許している場合、鍵だけのユーザー、ディレクトリサービスのユーザー、tiny-cloudの既定ユーザーなど）／$形式のパスワードハッシュを持つローカルアカウントが別にある
- 対象外
- sshdを動かさないコンテナ、PasswordAuthentication no、openssh-server-pamでUsePAM yes、ロックされた（「!」の）アカウントはそれ自体ではログインできない。$形式のハッシュを持つアカウントが1つもない構成、パスワード認証をnoと書き込むcloud-init系の構成も対象外
Alpineの修正版（openssh）
| ブランチ | 修正版 |
|---|---|
| edge | 10.6_p2-r0 |
| 3.24 | 10.3_p1-r2 |
| 3.23 | 10.2_p1-r1 |
| 3.22 | 10.0_p1-r11 |
| 3.21 | 9.9_p2-r1 |
| 3.20 | 9.7_p1-r6 |
| 3.19 | 9.6_p1-r3 |
| 3.18 | 9.3_p2-r4 |
| 3.17 | 9.1_p1-r7 |
| 3.16 | 9.0_p1-r6 |
Alpineはブランチの版番号をそのまま保ち、修正を取り込んだパッケージ版を出しています（10.6p2への更新とは限りません）。tiny-cloudの修正済みイメージは、3.21.10、3.22.8、3.23.8、3.24.4以降です。
悪用の状況
2026年11月7日時点で、確認できた範囲は次のとおりです。
- OpenSSH・Alpineの発表
- 悪用の記載なし
- KEV
- 米CISAのKEV（確認したデータの更新は11月4日20時UTC）に、CVE-2026-123158は載っていない
- CISAの評価
- CVE記録のSSVCでは「概念実証あり（poc）」。実際の悪用とは区別されている。報道は、概念実証（PoC）が公開されたとも伝えている（リンクはしない）
- 民間の報告
- Help Net Security（11月6日）は、民間の脅威情報会社が、公開から9時間未満で攻撃の試みを観測し、自社の観測用の環境でroot権限の取得に至った例もあると述べた、と報道。記事は、同社の話として、単一の接続元から8件の試み、センサー1台で捕捉と伝えている。同社の自社ページ（11月6日時点）は、観測を4件、センサー1台とし、「確認」の表示は試みが成功したことを意味しないと断っている。いずれも件数は少なく、第三者の検証は確認できていない
当サイトの見方：公式の発表と米CISAのKEVでは悪用は確認できていませんが、民間の観測として攻撃の試みが報じられています。件数は少なく、第三者の検証もありません。ただ、攻撃に必要な情報がすでに出回っている以上、「報告が少ない」ことを理由に待つのはお勧めしません。公開されたAlpineのsshdは、更新を急いでください。
分かっていること・分かっていないこと
| 項目 | 公表の内容 | 状態 |
|---|---|---|
| 問題の存在 | PAMなしのLinuxで、sshd経由のパスワード認証バイパスがありうる。10.6p2で回避（OpenSSH） | 確定（OpenSSH） |
| CVE | CVE-2026-123158（CVE記録） | 確定 |
| 影響を受ける範囲 | 10.6p2より前、LinuxでPAMなしのmusl。例はAlpine（CVE記録） | 確定（CVE記録） |
| Alpineの修正版 | 全ブランチ（3.16〜edge）の修正パッケージ（Alpine） | 確定（Alpine） |
| 該当する条件 | パスワード認証有効、「*」のアカウントと$形式のハッシュのアカウントが同居（Alpine） | Alpineの説明 |
| glibc（Debian系・RHEL系）への影響 | 公式発表は対象をmusl・PAMなしとしている。glibc系が安全との声明は報道が研究者の話として伝えたもののみ | 公式の明示なし |
| Alpine以外のmusl系 | 報道が研究者の話として、他のmusl系や組み込み用途も確認対象に挙げたが、配布元の発表は未確認 | 未確認 |
| 数値のスコア | CVE登録側が8.1。NVDは未評価 | 一部のみ |
| 悪用 | 攻撃の試みが民間から報告。検証は確認できず | 報告あり（未検証） |
| 米CISAのKEV | 11月4日更新のデータで未掲載 | 未掲載 |
運用を任せている場合
委託先のサーバー、VPS、コンテナ基盤を使っている場合は、次の3点を聞くと話が早く進みます。
- sshdを動かしているか。動かしているなら、Alpineなどのmusl系で、PAMなしか
- 10.6p2、またはAlpineの修正版に更新して、sshdを再起動したか。いつか
- パスワード認証を許しているか。インターネットから届く状態か
当サイトの視点：パスワードで入れる口を残さない
鍵認証だけにしてパスワード認証を止めていれば、今回の件はAlpineの勧告で対象外です。便利さのためにパスワード認証を残した口が、実際の入口になります。更新に加えて、sshdを外に出していないか、パスワード欄が「*」のアカウントが何に使われているかを、棚卸しで見直してください。優先順位の付け方は 脆弱性の優先順位の付け方（CVSS・EPSS・KEV） で解説しています。
これまでの経緯
2026年11月5日
OpenSSHがPortable OpenSSH 10.6p2を公開。PAMなしのLinuxで起きうるパスワード認証バイパスを回避。Alpine Linuxが勧告と修正パッケージを公開。CVE-2026-123158が登録される。11月6日
NVDが記録を受領（独自の評価は未了）。Help Net Securityが、民間の脅威情報会社が公開から9時間未満で攻撃の試みを観測したと報道。11月7日
当サイトがOpenSSHのリリースノート、CVE・NVDの記録、Alpineの勧告、KEVを確認。KEVには未掲載。
出典（公開記録）
2026年11月7日に確認しました。公式の発表を先に並べています。
- OpenSSH「Release Notes」10.6p2（2026年11月5日） — openssh.org
- Alpine Linux「OpenSSH password authentication bypass」（2026年11月5日） — alpinelinux.org ／ セキュリティトラッカー
- CVE-2026-123158（2026年11月5日登録） — cve.org ／ nvd.nist.gov
- 米CISA 悪用が確認された脆弱性の一覧（11月7日に有無を確認、データの更新は11月4日） — cisa.gov ／ JSON
- 報道（民間の脅威情報会社の話を紹介したもの。第三者の検証は確認できていない）：Help Net Security（2026年11月6日） — helpnetsecurity.com
更新履歴
2026-11-07：初版。OpenSSHのリリースノート10.6p2、CVE・NVDの記録、Alpineの勧告にもとづく。11月7日時点で、KEVには未掲載。民間による攻撃の試みの報告あり（未検証）。
次に読む
- SSHの備え：SSH鍵を最小権限で運用する
- 侵入の確認：サーバーへの侵入の痕跡を確かめる
- 公表後の進め方：脆弱性が公表されたときの対応手順 ／ 脆弱性の優先順位の付け方（CVSS・EPSS・KEV）
- 備え：セキュリティの棚卸しチェックリスト
- 用語：CVEとは