Para: quem executa o sshd em Linux baseado em musl, como o Alpine (servidores, VPSs, imagens Docker, roteadores e outros dispositivos embarcados), a equipe responsável pela infraestrutura e quem deixa a operação com uma terceirizada. Este artigo se baseia nas notas de versão do OpenSSH, nos registros CVE e NVD e no aviso do Alpine Linux. Ele não trata de passos de ataque.
Em andamento: este artigo será atualizado conforme mais informações forem publicadas
- Quem é afetado
quem executa o sshd em Linux baseado em musl, como o Alpine (servidores, VPSs, imagens Docker, roteadores e outros dispositivos embarcados), a equipe responsável pela infraestrutura e quem deixa a operação com uma terceirizada.
- Confirmado até agoraVer a tabela ↓
- O problema
- CVE
- Escopo
Mais 1
- Correções do Alpine
- Ainda não confirmado
- Escala e sucesso da exploração (tentativas são relatadas, mas não foi encontrada verificação independente)
- Se a CISA o incluirá no catálogo de vulnerabilidades exploradas conhecidas (não consta nos dados atualizados em 4 de novembro)
- A avaliação própria do NVD (ainda não analisada em 6 de novembro; a pontuação base de 8,1 vem do registro CVE)
Mais 1
- Situação de distribuições e imagens além do Alpine (nenhuma declaração oficial encontrada)
- O que fazer agoraVer os passos ↓
- Verifique se o sshd roda e qual libc e PAM ele usa
- Atualize e reinicie o sshd
- Se não puder atualizar, desative a autenticação por senha
Mais 2
- Reconstrua contêineres e imagens de nuvem
- Revise os logs de autenticação
- Onde verificar (fonte)Todas as fontes ↓
- OpenSSH Release Notes, 10.6p2 (5 de novembro de 2026)
- Última verificação
- Em 7 de novembro de 2026 (JST)
Próximos avisos e o que verificamos
As notas de versão do OpenSSH dizem que a 10.6p2 (5 de novembro de 2026) evita um contorno da autenticação por senha explorável por meio do sshd em alguns sistemas Linux compilados e executados sem PAM. Elas também dizem que a causa raiz está fora do sshd. Foi registrado como CVE-2026-123158.
O que fazer hoje
Verifique se o sshd roda e qual libc e PAM ele usa
Primeiro veja se o sshd roda no host ou no contêiner. O aviso do Alpine lista como não afetados os contêineres que não executam sshd. Se ele roda, verifique se é musl com ldd $(which sshd); no Alpine, cat /etc/os-release também informa. Veja também o UsePAM no sshd_config e se o pacote instalado é o openssh-server (sem PAM) ou o openssh-server-pam.
Atualize e reinicie o sshd
No Alpine, execute apk upgrade -U -a. As versões corrigidas dos pacotes diferem por branch (tabela abaixo). Atualizar o pacote não substitui o daemon em execução, então reinicie o sshd e mantenha uma segunda sessão aberta para não ficar sem acesso.
Se não puder atualizar, desative a autenticação por senha
Configure PasswordAuthentication no para que só as chaves funcionem e confirme com sshd -T | grep -i passwordauthentication. Antes, certifique-se de que sua chave funciona. Além disso, mantenha o sshd fora da internet e restrinja os endereços de origem com um firewall ou bastião. O manuseio de chaves é tratado em Chaves SSH com privilégio mínimo.
Reconstrua contêineres e imagens de nuvem
Se você instala o sshd em uma imagem baseada em Alpine, atualize a imagem base e o pacote openssh e reconstrua. Instâncias iniciadas a partir de imagens antigas precisam ser atualizadas uma a uma, ou reconstruídas a partir de uma imagem corrigida. O aviso do Alpine diz que suas imagens oficiais de nuvem (tiny-cloud) também têm versões afetadas.
Revise os logs de autenticação
O Alpine recomenda procurar em logs como /var/log/messages logins por senha aceitos em contas que não deveriam ter senha: root, usuários só com chave e o usuário padrão de imagens de nuvem são os típicos. Se encontrar algum, ou se os logs sumiram e você não puder descartá-lo, trate o host como comprometido e verifique usuários, chaves, configuração e arquivos. Veja Como verificar se um servidor tem sinais de invasão e O que fazer quando uma vulnerabilidade é publicada.
musl, sem PAM, sshd exposto
Prioridade máxima. Atualize e reinicie; até lá, desative o login por senha
musl, mas não exposto
Atualize logo. Restrinja as origens e revise os logs
Sem sshd, PAM ativo ou senhas desativadas
Não afetado segundo o Alpine. A atualização normal basta
O que o OpenSSH e o Alpine publicaram
O projeto OpenSSH lançou o Portable OpenSSH 10.6p2 em 5 de novembro de 2026. As notas de versão começam dizendo que a versão contém uma solução alternativa de segurança crítica para sistemas Linux que usam musl libc com PAM desativado.
- Conteúdo
- Uma mudança para evitar um contorno da autenticação por senha explorável por meio do sshd em alguns sistemas Linux compilados e executados com PAM desativado. As notas consideram que a causa raiz está fora do sshd, mas pode ser evitada nele
- Versão corrigida
- Portable OpenSSH 10.6p2
- Quem reportou
- Um pesquisador de uma empresa privada de segurança (conforme o crédito nas notas)
- Exploração
- As notas não mencionam exploração
- Registro
- CVE-2026-123158, publicado em 5 de novembro de 2026 (atribuído pela MITRE)
- Escopo
- OpenSSH anterior à 10.6p2, em Linux, quando se usa musl libc sem PAM. O Alpine Linux é dado como exemplo
- Pontuação
- Pontuação base CVSS 3.1 de 8,1 (High), do registro CVE. O NVD mostrava a entrada como recebida em 6 de novembro, sem análise própria
- Anotação da CISA
- A avaliação da CISA anexada ao registro (SSVC) indica a exploração como prova de conceito, automatizável como não, impacto técnico como total
- Afetado
- openssh-server (sem PAM), ou openssh-server-pam com UsePAM no. Branches 3.21 a 3.24 e edge, mais as 3.16 a 3.20 sem suporte (a 3.21 teve o suporte encerrado em 1º de novembro). Imagens oficiais de nuvem (tiny-cloud) 3.18.11 a 3.24.3
- Condições (todas)
- PasswordAuthentication é yes (o padrão do OpenSSH); uma conta tem um asterisco como campo de senha (root com PermitRootLogin yes, usuários só com chave, usuários de serviço de diretório, o usuário padrão do tiny-cloud); e outra conta local tem um hash de senha no formato $
- Não afetado
- Contêineres que não executam sshd, PasswordAuthentication no, openssh-server-pam com UsePAM yes; contas bloqueadas (marcadas com !) não conseguem fazer login por si; configurações sem nenhuma conta com hash no formato $ e as de cloud-init que gravam PasswordAuthentication no também ficam fora do escopo
Versões corrigidas do Alpine (openssh)
| Branch | Versão corrigida |
|---|---|
| edge | 10.6_p2-r0 |
| 3.24 | 10.3_p1-r2 |
| 3.23 | 10.2_p1-r1 |
| 3.22 | 10.0_p1-r11 |
| 3.21 | 9.9_p2-r1 |
| 3.20 | 9.7_p1-r6 |
| 3.19 | 9.6_p1-r3 |
| 3.18 | 9.3_p2-r4 |
| 3.17 | 9.1_p1-r7 |
| 3.16 | 9.0_p1-r6 |
O Alpine mantém o número de versão de cada branch e distribui um build corrigido do pacote, então a correção nem sempre é uma mudança para a 10.6p2. As imagens tiny-cloud corrigidas são a 3.21.10, 3.22.8, 3.23.8 e 3.24.4 e posteriores.
Exploração
O que este site conseguiu confirmar em 7 de novembro de 2026:
- OpenSSH e Alpine
- Nenhum dos dois menciona exploração
- KEV
- Não consta no KEV da CISA (os dados consultados foram atualizados em 4 de novembro, 20:00 UTC)
- Avaliação da CISA
- O SSVC do registro CVE indica prova de conceito, o que é diferente de exploração observada. A imprensa também relatou que uma prova de conceito foi publicada (não vinculada aqui)
- Relato privado
- A Help Net Security (6 de novembro) informa que uma empresa privada de inteligência de ameaças viu tentativas de ataque menos de nove horas após a publicação, incluindo uma sessão de root em seu próprio ambiente de monitoramento. A própria página da empresa diz que seu rótulo confirmed não significa que uma tentativa teve sucesso. O artigo repassa as declarações da empresa e relata oito tentativas de uma única origem, captadas por um sensor. A página da própria empresa (em 6 de novembro) conta 4 tentativas em um sensor. Os dois números são pequenos e não foi encontrada verificação independente
Avaliação deste site: as fontes oficiais e o KEV não confirmam exploração, mas uma empresa privada relata tentativas. Os números são pequenos e não verificados. Mesmo assim, como a informação necessária para atacar já circula, não é aconselhável esperar mais relatos. Atualize primeiro os sshd do Alpine expostos à internet.
O que se sabe e o que não se sabe
| Item | O que foi publicado | Situação |
|---|---|---|
| O problema | Um contorno da autenticação por senha via sshd em alguns Linux sem PAM; evitado na 10.6p2 (OpenSSH) | Confirmado (OpenSSH) |
| CVE | CVE-2026-123158 (registro CVE) | Confirmado |
| Escopo | Anterior à 10.6p2, Linux, musl sem PAM; Alpine como exemplo (registro CVE) | Confirmado (registro CVE) |
| Correções do Alpine | Pacotes corrigidos para todos os branches de 3.16 a edge (Alpine) | Confirmado (Alpine) |
| Condições | Autenticação por senha ativa; uma conta com asterisco e uma conta com hash no formato $ ao mesmo tempo (Alpine) | Descrição do Alpine |
| glibc (famílias Debian, RHEL) | As fontes oficiais limitam o escopo a musl sem PAM; afirmações de que a glibc é segura aparecem só como declaração de um pesquisador repassada pela imprensa | Sem declaração oficial explícita |
| Outros sistemas com musl | A imprensa, repassando um pesquisador, citou outros sistemas com musl e usos embarcados como dignos de verificação; nenhuma declaração de distribuições encontrada | Não confirmado |
| Pontuação numérica | 8,1 do registro CVE; o NVD ainda não analisou | Parcial |
| Exploração | Tentativas relatadas por uma empresa privada; nenhuma verificação independente encontrada | Relatado (não verificado) |
| CISA KEV | Não consta nos dados atualizados em 4 de novembro | Não listado |
Se outra pessoa administra seus servidores
Se você usa os servidores, VPSs ou a plataforma de contêineres de uma terceirizada, faça três perguntas.
- O sshd roda e, se sim, é baseado em musl (como o Alpine) sem PAM?
- Foi atualizado para a 10.6p2 ou para o pacote corrigido da distribuição e o sshd foi reiniciado? Quando?
- A autenticação por senha é permitida e o sshd é acessível pela internet?
Avaliação deste site: não deixe a porta da senha aberta
Com a autenticação por senha desativada e só chaves, o Alpine lista este problema como não afetando você. Uma porta deixada aberta por conveniência é a porta que acaba sendo usada. Além de atualizar, reveja se o sshd está exposto e para que servem as contas com asterisco no campo de senha. Para priorizar, veja Como priorizar vulnerabilidades (CVSS, EPSS, KEV).
Cronologia
5 de novembro de 2026
O OpenSSH lança o Portable OpenSSH 10.6p2 com a solução alternativa. O Alpine Linux publica um aviso e pacotes corrigidos. O CVE-2026-123158 é publicado.6 de novembro
O NVD recebe o registro (ainda sem análise própria). A Help Net Security informa que uma empresa privada de inteligência de ameaças viu tentativas de ataque menos de nove horas após a publicação.7 de novembro
Este site consultou as notas de versão do OpenSSH, os registros CVE e NVD, o aviso do Alpine e o KEV. Não consta no KEV.
Fontes (registros públicos)
Consultadas em 7 de novembro de 2026. As fontes oficiais vêm primeiro.
- OpenSSH Release Notes, 10.6p2 (5 de novembro de 2026) — openssh.org
- Alpine Linux, OpenSSH password authentication bypass (5 de novembro de 2026) — alpinelinux.org / rastreador de segurança
- CVE-2026-123158 (publicado em 5 de novembro de 2026) — cve.org / nvd.nist.gov
- Catálogo de vulnerabilidades exploradas conhecidas da CISA (consultado em 7 de novembro; dados atualizados em 4 de novembro) — cisa.gov / JSON
- Reportagem (repassa declarações de uma empresa privada; nenhuma verificação independente encontrada): Help Net Security (6 de novembro de 2026) — helpnetsecurity.com
Histórico de atualizações
2026-11-07: Primeira versão, com base nas notas de versão do OpenSSH 10.6p2, nos registros CVE e NVD e no aviso do Alpine. Em 7 de novembro, não consta no KEV. Tentativas de ataque relatadas por uma empresa privada (não verificadas).
Leia em seguida
- Higiene de SSH: Chaves SSH com privilégio mínimo
- Verificação de invasão: Como verificar se um servidor tem sinais de invasão
- Depois de uma divulgação: O que fazer quando uma vulnerabilidade é publicada / Como priorizar vulnerabilidades (CVSS, EPSS, KEV)
- Preparação: Checklist de inventário de segurança
- Glossário: O que é um CVE?