2026-11-07
Correção de emergência do OpenSSH 10.6p2 (CVE-2026-123158): contorno da autenticação por senha no sshd em sistemas com musl sem PAM, como o Alpine
Em 5 de novembro de 2026 o OpenSSH lançou a versão 10.6p2 com uma solução alternativa crítica para um contorno da autenticação por senha no sshd em alguns sistemas Linux compilados e executados sem PAM, em especial os que usam musl libc. O CVE é CVE-2026-123158 (pontuação base CVSS 3.1 de 8,1, conforme a pontuação do próprio registro CVE). O Alpine Linux publicou um aviso no mesmo dia com pacotes corrigidos para todos os branches. Segundo o Alpine, um host é afetado quando a autenticação por senha está ativa, uma conta tem um asterisco no campo de senha e outra conta tem um hash normal. Configurações com PAM ativado, com PasswordAuthentication no, ou contêineres que não executam sshd não são afetados. O KEV da CISA não o listava em 7 de novembro. Uma empresa privada de inteligência de ameaças teria visto tentativas de ataque menos de nove horas após a publicação, mas não foi encontrada verificação independente. Conclusão deste site: verifique se o sshd roda em musl sem PAM, atualize para a 10.6p2 ou para o pacote corrigido da sua distribuição e reinicie o sshd, desative a autenticação por senha até lá e revise os logs de autenticação.