Срочное исправление OpenSSH 10.6p2 (CVE-2026-123158): обход парольной аутентификации в sshd на системах с musl без PAM, например Alpine

5 ноября 2026 года проект OpenSSH выпустил Portable OpenSSH 10.6p2. В примечаниях к выпуску сказано, что он обходит проблему обхода парольной аутентификации, которую можно эксплуатировать через sshd на некоторых системах Linux, собранных и запущенных с отключённым PAM, и что это важное обходное решение для систем Linux с musl libc и отключённым PAM. Идентификатор — CVE-2026-123158.

Если вы запускаете sshd на musl libc без PAM, проверьте это в первую очередь. Типичный пример — Alpine Linux со стандартным пакетом openssh-server. Согласно бюллетеню Alpine, хост затронут только тогда, когда включена парольная аутентификация, у одной учётной записи в поле пароля стоит звёздочка, а у другой локальной учётной записи есть обычный хеш пароля. Контейнеры, не запускающие sshd, конфигурации с PasswordAuthentication no и с включённым PAM (UsePAM yes) указаны как не затронутые.

Примечания к выпуску OpenSSH и запись CVE ограничивают проблему Linux с musl и без PAM; дистрибутивы на основе glibc, такие как семейства Debian и RHEL, не названы. В одной публикации прессы приводится заявление исследователя о том, что системы на glibc (названы Debian, Ubuntu и Fedora), конфигурации с PAM и Dropbear не затронуты, но официальных заявлений этих дистрибутивов этот сайт не нашёл. Если вы не уверены, проверьте libc, например командой ldd $(which sshd).

В бюллетене Alpine описано решение: задать PasswordAuthentication no, чтобы работала только аутентификация по ключам. Проверьте это командой sshd -T и перезапустите sshd. Кроме того, не выставляйте sshd в интернет или ограничьте исходные адреса межсетевым экраном. Прежде чем переходить на одни ключи, убедитесь из второго сеанса, что ваш ключ работает.

По состоянию на 7 ноября 2026 года в KEV агентства CISA её нет (проверенные данные обновлены 4 ноября). Оценка CISA, приложенная к записи CVE, указывает эксплуатацию как proof-of-concept, что отличается от наблюдаемой эксплуатации. Help Net Security сообщает, что частная компания по киберразведке видела попытки атак менее чем через девять часов после публикации; на собственной странице компании сказано, что метка confirmed не означает успешную попытку. Цифры небольшие. Независимого подтверждения найти не удалось, поэтому этот сайт рассматривает это как сообщения о попытках, а не как проверенный факт.

Перезапустите sshd и убедитесь, что запущенный процесс — новой версии: одно обновление пакета не заменяет уже работающий демон. Затем проверьте журналы аутентификации на успешные входы по паролю в учётные записи, у которых пароля быть не должно, такие как root, пользователи только с ключами или пользователь по умолчанию в облачном образе. Если вход нельзя исключить, считайте хост скомпрометированным и проведите расследование.