대상: Alpine 같은 musl 기반 Linux에서 sshd를 운영하는 사람(서버, VPS, Docker 이미지, 라우터 및 기타 임베디드 기기), 인프라 담당자, 운영을 위탁업체에 맡기는 사람. 이 글은 OpenSSH 릴리스 노트, CVE 및 NVD 레코드, Alpine Linux 권고문을 바탕으로 하며 공격 절차는 다루지 않습니다.
진행 중: 더 많은 정보가 공개되는 대로 이 글을 업데이트합니다
- 대상
Alpine 같은 musl 기반 Linux에서 sshd를 운영하는 사람(서버, VPS, Docker 이미지, 라우터 및 기타 임베디드 기기), 인프라 담당자, 운영을 위탁업체에 맡기는 사람.
- 확인된 영향 범위표 보기 ↓
- 문제
- CVE
- 범위
1개 더 보기
- Alpine 수정
- 아직 확인되지 않은 사항
- 악용의 규모와 성공 여부(시도는 보고되었으나 독립적인 검증은 찾지 못함)
- CISA가 알려진 악용 취약점 카탈로그에 추가할지 여부(11월 4일 갱신 데이터에는 없음)
- NVD 자체 평가(11월 6일 기준 분석 전, 8.1 기본 점수는 CVE 레코드 기준)
1개 더 보기
- Alpine 외 배포판과 이미지의 상태(공식 입장을 찾지 못함)
- 지금 할 일절차 보기 ↓
- sshd가 실행 중인지, 어떤 libc와 PAM을 쓰는지 확인
- 업데이트하고 sshd 재시작
- 업데이트할 수 없다면 비밀번호 인증 끄기
2개 더 보기
- 컨테이너와 클라우드 이미지 다시 빌드
- 인증 로그 점검
- 마지막 확인
- 2026년 11월 7일 기준(JST)
후속 발표 예정과 확인 기록
OpenSSH 릴리스 노트에 따르면 10.6p2(2026년 11월 5일)는 PAM 없이 빌드·실행되는 일부 Linux 시스템에서 sshd를 통해 악용될 수 있는 비밀번호 인증 우회를 회피합니다. 또한 근본 원인은 sshd 밖에 있다고 밝힙니다. 이 문제는 CVE-2026-123158로 등록되었습니다.
오늘 해야 할 일
sshd가 실행 중인지, 어떤 libc와 PAM을 쓰는지 확인
먼저 호스트나 컨테이너에서 sshd가 실행되는지 보세요. Alpine 권고문은 sshd를 실행하지 않는 컨테이너를 영향 없음으로 분류합니다. 실행 중이라면 ldd $(which sshd)로 musl인지 확인하세요. Alpine에서는 cat /etc/os-release로도 알 수 있습니다. sshd_config의 UsePAM과, 설치된 패키지가 openssh-server(PAM 없음)인지 openssh-server-pam인지도 확인하세요.
업데이트하고 sshd 재시작
Alpine에서는 apk upgrade -U -a를 실행하세요. 수정 패키지 버전은 브랜치마다 다릅니다(아래 표). 패키지를 업데이트해도 실행 중인 데몬은 바뀌지 않으므로 sshd를 재시작하되, 접속이 막히지 않도록 두 번째 세션을 열어 두세요.
업데이트할 수 없다면 비밀번호 인증 끄기
PasswordAuthentication no로 설정해 키만 쓰도록 하고 sshd -T | grep -i passwordauthentication으로 확인하세요. 먼저 키가 작동하는지 확인해야 합니다. 또한 sshd를 인터넷에 노출하지 말고, 방화벽이나 배스천으로 접속 가능한 주소를 제한하세요. 키 관리는 최소 권한 SSH 키에서 다룹니다.
컨테이너와 클라우드 이미지 다시 빌드
Alpine 기반 이미지에 sshd를 설치했다면 베이스 이미지와 openssh 패키지를 업데이트하고 다시 빌드하세요. 오래된 이미지에서 시작한 인스턴스는 하나씩 업데이트하거나 수정된 이미지로 다시 만들어야 합니다. Alpine 권고문은 공식 클라우드 이미지(tiny-cloud)에도 영향을 받는 버전이 있다고 밝힙니다.
인증 로그 점검
Alpine은 /var/log/messages 같은 로그에서 비밀번호가 없어야 할 계정에 대한 비밀번호 로그인 성공 기록을 찾으라고 권합니다. root, 키 전용 사용자, 클라우드 이미지의 기본 사용자가 대표적입니다. 발견했거나, 로그가 없어 배제할 수 없다면 해당 호스트가 침해된 것으로 보고 사용자, 키, 설정, 파일을 확인하세요. 서버 침해 징후 확인하기와 취약점이 공개되었을 때 해야 할 일을 참고하세요.
musl, PAM 없음, sshd 노출
최우선. 업데이트하고 재시작. 그때까지 비밀번호 로그인 끄기
musl이지만 노출되지 않음
빠르게 업데이트. 접속 출처 제한과 로그 점검
sshd 없음, PAM 켬, 또는 비밀번호 꺼짐
Alpine에 따르면 영향 없음. 일반 업데이트로 충분
OpenSSH와 Alpine이 공개한 내용
OpenSSH 프로젝트는 2026년 11월 5일 Portable OpenSSH 10.6p2를 공개했습니다. 릴리스 노트는 첫머리에서 이 릴리스에 PAM을 끈 musl libc 사용 Linux 시스템을 위한 중요한 보안 회피 조치가 들어 있다고 밝힙니다.
- 내용
- PAM을 끈 상태로 빌드·실행되는 일부 Linux 시스템에서 sshd를 통해 악용될 수 있는 비밀번호 인증 우회를 회피하는 변경. 노트는 근본 원인이 sshd 밖에 있지만 sshd 쪽에서 피할 수 있다고 봅니다
- 수정 버전
- Portable OpenSSH 10.6p2
- 보고자
- 민간 보안 회사의 연구자(노트의 감사 표기 기준)
- 악용
- 노트는 악용을 언급하지 않음
- 등록
- CVE-2026-123158, 2026년 11월 5일 공개(MITRE 부여)
- 범위
- 10.6p2 이전의 OpenSSH, Linux에서 PAM 없이 musl libc를 쓸 때. Alpine Linux가 예로 제시됨
- 점수
- CVSS 3.1 기본 점수 8.1(High), CVE 레코드 기준. NVD는 11월 6일에 접수한 것으로 표시했으며 자체 분석은 없음
- CISA 주석
- 레코드에 붙은 CISA 평가(SSVC)는 악용을 개념 증명, 자동화 가능성을 아니오, 기술적 영향을 전체로 표시
- 영향 대상
- openssh-server(PAM 없음), 또는 UsePAM no인 openssh-server-pam. 브랜치 3.21–3.24와 edge, 그리고 지원이 끝난 3.16–3.20(3.21은 11월 1일 지원 종료). 공식 클라우드 이미지(tiny-cloud) 3.18.11–3.24.3
- 조건(모두 충족)
- PasswordAuthentication이 yes(OpenSSH 기본값). 한 계정의 비밀번호 필드가 별표(PermitRootLogin yes인 root, 키 전용 사용자, 디렉터리 서비스 사용자, tiny-cloud 기본 사용자). 그리고 다른 로컬 계정이 $ 형식의 비밀번호 해시를 가짐
- 영향 없음
- sshd를 실행하지 않는 컨테이너, PasswordAuthentication no, UsePAM yes인 openssh-server-pam. 잠긴 계정(!로 표시)은 스스로 로그인할 수 없음. $ 형식 해시를 가진 계정이 없는 환경과 PasswordAuthentication no를 기록하는 cloud-init 환경도 범위 밖
Alpine 수정 버전(openssh)
| 브랜치 | 수정 버전 |
|---|---|
| edge | 10.6_p2-r0 |
| 3.24 | 10.3_p1-r2 |
| 3.23 | 10.2_p1-r1 |
| 3.22 | 10.0_p1-r11 |
| 3.21 | 9.9_p2-r1 |
| 3.20 | 9.7_p1-r6 |
| 3.19 | 9.6_p1-r3 |
| 3.18 | 9.3_p2-r4 |
| 3.17 | 9.1_p1-r7 |
| 3.16 | 9.0_p1-r6 |
Alpine은 각 브랜치의 버전 번호를 유지한 채 패치된 패키지 빌드를 배포하므로, 수정이 항상 10.6p2로의 이동은 아닙니다. 수정된 tiny-cloud 이미지는 3.21.10, 3.22.8, 3.23.8, 3.24.4 이후 버전입니다.
악용 여부
2026년 11월 7일 기준으로 이 사이트가 확인할 수 있었던 내용:
- OpenSSH와 Alpine
- 둘 다 악용을 언급하지 않음
- KEV
- CISA KEV에 없음(확인한 데이터는 11월 4일 20:00 UTC에 갱신)
- CISA 평가
- CVE 레코드의 SSVC는 개념 증명이라고 하며, 이는 관측된 악용과는 별개입니다. 언론은 개념 증명이 공개되었다고도 보도했습니다(여기에는 링크하지 않음)
- 민간 보고
- Help Net Security(11월 6일)는 한 민간 위협 인텔리전스 업체가 공개 후 9시간이 채 되지 않아 공격 시도를 봤으며, 그 업체 자체 모니터링 환경의 root 세션도 포함된다고 보도합니다. 업체 자체 페이지는 confirmed 표시가 시도 성공을 뜻하지 않는다고 밝힙니다. 이 기사는 업체의 주장을 전하며, 하나의 출처에서 온 8건의 시도가 센서 한 대에 잡혔다고 보도합니다. 업체 자체 페이지(11월 6일 기준)는 센서 한 대에서 4건의 시도를 집계합니다. 두 수치 모두 작고 독립적인 검증은 찾지 못했습니다
이 사이트의 견해: 공식 출처와 KEV는 악용을 확인하지 않지만, 한 민간 업체가 시도를 보고했습니다. 수치는 작고 검증되지 않았습니다. 그래도 공격에 필요한 정보가 이미 돌고 있으므로 추가 보고를 기다리는 것은 권하지 않습니다. 인터넷에 노출된 Alpine sshd부터 업데이트하세요.
확인된 내용과 확인되지 않은 내용
| 항목 | 공개된 내용 | 상태 |
|---|---|---|
| 문제 | PAM 없는 일부 Linux에서 sshd를 통한 비밀번호 인증 우회. 10.6p2에서 회피(OpenSSH) | 확인됨(OpenSSH) |
| CVE | CVE-2026-123158(CVE 레코드) | 확인됨 |
| 범위 | 10.6p2 이전, Linux, PAM 없는 musl. Alpine이 예(CVE 레코드) | 확인됨(CVE 레코드) |
| Alpine 수정 | 3.16–edge 모든 브랜치에 수정 패키지(Alpine) | 확인됨(Alpine) |
| 조건 | 비밀번호 인증 켜짐. 별표 계정과 $ 형식 해시 계정이 함께 존재(Alpine) | Alpine의 설명 |
| glibc(Debian, RHEL 계열) | 공식 출처는 범위를 PAM 없는 musl로 한정. glibc가 안전하다는 말은 언론이 전한 연구자 발언으로만 나타남 | 명시적인 공식 입장 없음 |
| 그 밖의 musl 시스템 | 언론이 연구자 발언을 전하며 다른 musl 시스템과 임베디드 용도를 점검 대상으로 거론. 배포판의 입장은 찾지 못함 | 확인되지 않음 |
| 수치 점수 | CVE 레코드의 8.1. NVD는 아직 분석 전 | 일부 |
| 악용 | 민간 업체가 시도를 보고. 독립적인 검증은 찾지 못함 | 보고됨(미검증) |
| CISA KEV | 11월 4일 갱신 데이터에는 없음 | 등재되지 않음 |
서버를 다른 사람이 운영한다면
위탁업체의 서버, VPS, 컨테이너 플랫폼을 쓴다면 세 가지를 물어보세요.
- sshd가 실행 중인가요? 그렇다면 PAM 없는 musl 기반(Alpine 등)인가요?
- 10.6p2 또는 배포판의 수정 패키지로 업데이트하고 sshd를 재시작했나요? 언제인가요?
- 비밀번호 인증이 허용되어 있나요? 그리고 sshd에 인터넷에서 접속할 수 있나요?
이 사이트의 견해: 비밀번호라는 문을 열어 두지 마세요
비밀번호 인증을 끄고 키만 쓰면, Alpine은 이 문제가 영향을 주지 않는다고 분류합니다. 편의를 위해 열어 둔 문은 결국 쓰이는 문입니다. 업데이트 외에도 sshd가 노출되어 있는지, 비밀번호 필드가 별표인 계정을 어디에 쓰는지 점검하세요. 우선순위를 정하는 방법은 취약점 우선순위 정하는 법(CVSS, EPSS, KEV)을 참고하세요.
타임라인
2026년 11월 5일
OpenSSH가 회피 조치가 담긴 Portable OpenSSH 10.6p2를 공개. Alpine Linux가 권고문과 수정 패키지를 공개. CVE-2026-123158 공개.11월 6일
NVD가 레코드를 접수(자체 분석은 아직 없음). Help Net Security가 한 민간 위협 인텔리전스 업체가 공개 후 9시간이 채 되지 않아 공격 시도를 봤다고 보도.11월 7일
이 사이트가 OpenSSH 릴리스 노트, CVE 및 NVD 레코드, Alpine 권고문, KEV를 확인. KEV에는 없음.
출처(공개 자료)
2026년 11월 7일에 확인했습니다. 공식 출처를 먼저 적었습니다.
- OpenSSH Release Notes, 10.6p2(2026년 11월 5일) — openssh.org
- Alpine Linux, OpenSSH password authentication bypass(2026년 11월 5일) — alpinelinux.org / 보안 트래커
- CVE-2026-123158(2026년 11월 5일 공개) — cve.org / nvd.nist.gov
- CISA 알려진 악용 취약점 카탈로그(11월 7일 확인, 데이터는 11월 4일 갱신) — cisa.gov / JSON
- 언론 보도(한 민간 업체의 주장을 전함, 독립적인 검증은 찾지 못함): Help Net Security(2026년 11월 6일) — helpnetsecurity.com
업데이트 기록
2026-11-07: 최초 버전. OpenSSH 10.6p2 릴리스 노트, CVE 및 NVD 레코드, Alpine 권고문을 바탕으로 작성. 11월 7일 기준 KEV에는 없음. 한 민간 업체가 공격 시도를 보고(미검증).
다음으로 읽기
- SSH 위생: 최소 권한 SSH 키
- 침해 확인: 서버 침해 징후 확인하기
- 공개 이후: 취약점이 공개되었을 때 해야 할 일 / 취약점 우선순위 정하는 법(CVSS, EPSS, KEV)
- 사전 준비: 보안 자산 목록 점검표
- 용어집: CVE란?