musl

OpenSSH 10.6p2 紧急修复（CVE-2026-123158）：Alpine 等未启用 PAM 的 musl 系统上，sshd 的密码认证可被绕过

2026年11月5日，OpenSSH 发布 10.6p2，针对部分在禁用 PAM 的情况下构建并运行的 Linux 系统（尤其是使用 musl libc 的系统）上 sshd 的密码认证绕过问题，提供了关键的规避措施。对应 CVE 为 CVE-2026-123158（CVSS 3.1 基础分 8.1，按 CVE 记录自身的评分）。Alpine Linux 当天发布公告，并为各分支提供了修复后的软件包。据 Alpine 称，满足以下条件的主机受影响：启用了密码认证，某个账户的密码字段为星号，且另一账户持有常规哈希。启用 PAM、设置了 PasswordAuthentication no 的环境，以及不运行 sshd 的容器不受影响。截至11月7日，CISA 的 KEV 尚未收录。一家私营威胁情报公司据称在公开后不到九小时内就观察到攻击尝试，但未找到独立验证。本站的结论：确认 sshd 是否运行在未启用 PAM 的 musl 上，更新到 10.6p2 或发行版的修复包并重启 sshd，在此之前关闭密码认证，并检查认证日志。