OpenSSH

OpenSSH 10.6p2 긴급 수정(CVE-2026-123158): Alpine 등 PAM이 없는 musl 시스템에서 sshd 비밀번호 인증이 우회될 수 있음

2026년 11월 5일 OpenSSH는 PAM을 끈 상태로 빌드·실행되는 일부 Linux 시스템(특히 musl libc 사용 시스템)의 sshd 비밀번호 인증 우회 문제에 대한 중요한 회피 조치를 담은 10.6p2를 공개했습니다. CVE는 CVE-2026-123158입니다(CVSS 3.1 기본 점수 8.1, CVE 레코드 자체의 점수 기준). Alpine Linux는 같은 날 권고문을 내고 모든 브랜치용 수정 패키지를 공개했습니다. Alpine에 따르면 비밀번호 인증이 켜져 있고, 한 계정의 비밀번호 필드가 별표이며, 다른 계정이 일반 해시를 가진 호스트가 영향을 받습니다. PAM이 켜진 환경, PasswordAuthentication no 환경, sshd를 실행하지 않는 컨테이너는 영향이 없습니다. CISA KEV에는 11월 7일 기준 등재되지 않았습니다. 한 민간 위협 인텔리전스 업체가 공개 후 9시간도 안 되어 공격 시도를 봤다고 알려졌으나 독립적인 검증은 찾지 못했습니다. 이 사이트의 결론: sshd가 PAM 없는 musl에서 실행되는지 확인하고, 10.6p2 또는 배포판의 수정 패키지로 업데이트한 뒤 sshd를 재시작하며, 그때까지 비밀번호 인증을 끄고 인증 로그를 점검하세요.