2026-11-07
OpenSSH 10.6p2 の緊急修正（CVE-2026-123158）｜AlpineなどmuslのsshdにPAMなしでパスワード認証バイパス
OpenSSHは2026年11月5日、10.6p2を公開し、PAM無効でビルド・実行されたLinux、とくにmusl libc環境のsshdで、パスワード認証を迂回されうる問題への重大な回避策を入れた。CVEはCVE-2026-123158（CVSS 3.1は8.1、評価はCVE登録側）。Alpine Linuxは同日に勧告を出し、全ブランチの修正パッケージを公開した。Alpineの説明では、パスワード認証が有効で、パスワード欄が「*」のアカウントと、通常のハッシュを持つアカウントが同居するときに該当する。PAM有効のopenssh-server-pam、PasswordAuthentication no、sshdを動かさないコンテナは対象外。米CISAのKEVには11月7日時点で未掲載。一方、民間の脅威情報会社は、公開から9時間未満で攻撃の試みを観測したと報じられているが、第三者の検証は確認できていない。当サイトの結論：sshdがmusl・PAMなしかを確かめ、openssh 10.6p2または各配布元の修正版に更新してsshdを再起動し、更新できない間はパスワード認証を止め、認証ログを点検する。