контейнеры

Срочное исправление OpenSSH 10.6p2 (CVE-2026-123158): обход парольной аутентификации в sshd на системах с musl без PAM, например Alpine

5 ноября 2026 года OpenSSH выпустил 10.6p2 с важным обходным решением для проблемы обхода парольной аутентификации в sshd на некоторых системах Linux, собранных и запущенных с отключённым PAM, в частности использующих musl libc. Идентификатор — CVE-2026-123158 (базовая оценка CVSS 3.1 — 8,1, по собственной оценке записи CVE). Alpine Linux в тот же день опубликовал бюллетень с исправленными пакетами для всех веток. По данным Alpine, затронут хост, у которого включена парольная аутентификация, у одной учётной записи в поле пароля стоит звёздочка, а у другой есть обычный хеш. Конфигурации с включённым PAM, с PasswordAuthentication no и контейнеры, не запускающие sshd, не затронуты. По состоянию на 7 ноября в каталоге KEV агентства CISA записи нет. Частная компания по киберразведке, по сообщениям, зафиксировала попытки атак менее чем через девять часов после публикации, но независимого подтверждения найти не удалось. Вывод этого сайта: проверьте, работает ли sshd на musl без PAM, обновитесь до 10.6p2 или исправленного пакета дистрибутива и перезапустите sshd, до этого отключите парольную аутентификацию и просмотрите журналы аутентификации.