適用對象：在 Alpine 等以 musl 為基礎的 Linux 上執行 sshd 的人（伺服器、VPS、Docker 映像、路由器與其他嵌入式裝置）、負責基礎架構的人員，以及把維運交給外包廠商的人。本文依據 OpenSSH 發行說明、CVE 與 NVD 紀錄以及 Alpine Linux 的公告，不涉及攻擊步驟。
進行中：本文將隨更多資訊發布而更新
- 適用對象
在 Alpine 等以 musl 為基礎的 Linux 上執行 sshd 的人（伺服器、VPS、Docker 映像、路由器與其他嵌入式裝置）、負責基礎架構的人員，以及把維運交給外包廠商的人。
- 已確認的影響範圍查看表格 ↓
- 問題
- CVE
- 範圍
另外1項
- Alpine 修補
- 尚未確認的事項
- 利用的規模與是否成功（有攻擊嘗試的報導，但未找到獨立驗證）
- CISA 是否會將其加入已知遭利用弱點目錄（11月4日更新的資料中未收錄）
- NVD 自己的評估（11月6日時尚未分析；8.1 的基礎分數來自 CVE 紀錄）
另外1項
- Alpine 以外的發行版與映像的狀況（未找到官方聲明）
- 現在要做的事查看步驟 ↓
- 確認 sshd 是否在執行，以及使用的 libc 與 PAM
- 更新並重新啟動 sshd
- 無法更新時，關閉密碼驗證
另外2項
- 重新建置容器與雲端映像
- 檢視驗證日誌
- 最後查證
- 截至2026年11月7日（日本時間）
續報計畫與查證紀錄
OpenSSH 發行說明指出，10.6p2（2026年11月5日）規避了一個可透過 sshd 利用的密碼驗證繞過問題，影響部分在沒有 PAM 的情況下建置並執行的 Linux 系統。說明並指出根本原因在 sshd 之外。該問題已登記為 CVE-2026-123158。
今天該做什麼
確認 sshd 是否在執行，以及使用的 libc 與 PAM
先看主機或容器裡是否在執行 sshd。Alpine 的公告把不執行 sshd 的容器列為不受影響。如果在執行，用 ldd $(which sshd) 檢查是否為 musl；在 Alpine 上，cat /etc/os-release 也能告訴您。同時查看 sshd_config 中的 UsePAM，以及已安裝的套件是 openssh-server（無 PAM）還是 openssh-server-pam。
更新並重新啟動 sshd
在 Alpine 上執行 apk upgrade -U -a。各分支的修補版本不同（見下表）。更新套件不會替換正在執行的常駐程式，所以請重新啟動 sshd，並保持另一個連線開著，以免被鎖在門外。
無法更新時，關閉密碼驗證
設定 PasswordAuthentication no，讓只有金鑰可用，並用 sshd -T | grep -i passwordauthentication 確認。請先確認您的金鑰可以登入。同時讓 sshd 不暴露在網際網路上，並用防火牆或跳板機限制來源位址。金鑰的處理見 SSH 金鑰的最小權限。
重新建置容器與雲端映像
如果您在以 Alpine 為基礎的映像中安裝了 sshd，請更新基礎映像與 openssh 套件並重新建置。由舊映像啟動的執行個體需要逐台更新，或用修補後的映像重建。Alpine 的公告指出，其官方雲端映像（tiny-cloud）也有受影響的版本。
檢視驗證日誌
Alpine 建議在 /var/log/messages 等日誌中搜尋本不該有密碼的帳號的密碼登入成功紀錄：root、僅金鑰使用者與雲端映像的預設使用者是典型例子。如果發現，或日誌已不存在而無法排除，請把該主機視為已遭入侵，並檢查使用者、金鑰、設定與檔案。參見 檢查伺服器是否有遭入侵的跡象 與 弱點公布後該怎麼做。
musl、無 PAM、sshd 對外暴露
最高優先。更新並重新啟動；在此之前關閉密碼登入
musl 但未對外暴露
儘快更新。限制來源並檢視日誌
無 sshd、啟用 PAM，或已關閉密碼
依 Alpine 所述不受影響。一般更新即可
OpenSSH 與 Alpine 公布了什麼
OpenSSH 專案於2026年11月5日發布了 Portable OpenSSH 10.6p2。其發行說明開頭即指出，此版本包含針對使用 musl libc 且停用 PAM 的 Linux 系統的關鍵安全規避措施。
- 內容
- 一項變更，用於規避可透過 sshd 利用的密碼驗證繞過問題，影響部分在停用 PAM 的情況下建置並執行的 Linux 系統。說明認為根本原因在 sshd 之外，但可以在 sshd 一側規避
- 修補版本
- Portable OpenSSH 10.6p2
- 通報者
- 一家民營資安公司的研究人員（依說明中的致謝）
- 利用情況
- 說明未提及利用
- 登記
- CVE-2026-123158，2026年11月5日公布（由 MITRE 指派）
- 範圍
- 10.6p2 之前的 OpenSSH，在 Linux 上使用 musl libc 且無 PAM 時。以 Alpine Linux 為例
- 評分
- CVSS 3.1 基礎分數 8.1（High），來自 CVE 紀錄。NVD 顯示該條目於11月6日收到，尚無自己的分析
- CISA 標註
- 附在紀錄上的 CISA 評估（SSVC）把利用情況列為概念驗證，可自動化為否，技術影響為完全
- 受影響
- openssh-server（無 PAM），或 UsePAM no 的 openssh-server-pam。分支 3.21 至 3.24 與 edge，以及已不受支援的 3.16 至 3.20（3.21 於11月1日結束支援）。官方雲端映像（tiny-cloud）3.18.11 至 3.24.3
- 條件（須全部符合）
- PasswordAuthentication 為 yes（OpenSSH 預設值）；某個帳號的密碼欄位為星號（PermitRootLogin yes 的 root、僅金鑰使用者、目錄服務使用者、tiny-cloud 的預設使用者）；且另一個本機帳號持有 $ 格式的密碼雜湊
- 不受影響
- 不執行 sshd 的容器、PasswordAuthentication no、UsePAM yes 的 openssh-server-pam；被鎖定的帳號（以 ! 標記）無法自行登入；沒有帳號持有 $ 格式雜湊的環境，以及寫入 PasswordAuthentication no 的 cloud-init 環境，也不在範圍內
Alpine 的修補版本（openssh）
| 分支 | 修補版本 |
|---|---|
| edge | 10.6_p2-r0 |
| 3.24 | 10.3_p1-r2 |
| 3.23 | 10.2_p1-r1 |
| 3.22 | 10.0_p1-r11 |
| 3.21 | 9.9_p2-r1 |
| 3.20 | 9.7_p1-r6 |
| 3.19 | 9.6_p1-r3 |
| 3.18 | 9.3_p2-r4 |
| 3.17 | 9.1_p1-r7 |
| 3.16 | 9.0_p1-r6 |
Alpine 維持各分支的版本號，並發布打過修補的套件建置，因此修補不一定是升級到 10.6p2。已修補的 tiny-cloud 映像為 3.21.10、3.22.8、3.23.8 和 3.24.4 及之後版本。
利用情況
截至2026年11月7日，本站能夠確認的內容：
- OpenSSH 與 Alpine
- 兩者均未提及利用
- KEV
- 不在 CISA 的 KEV 中（檢查的資料更新於11月4日 20:00 UTC）
- CISA 評估
- CVE 紀錄中的 SSVC 稱為概念驗證，這與已觀察到的利用是兩回事。媒體也報導概念驗證已公開（此處不提供連結）
- 民營機構的通報
- Help Net Security（11月6日）報導指出，一家民營威脅情資公司在公開後不到九小時內看到了攻擊嘗試，其中包括在其自有監控環境中的一次 root 連線。該公司自己的頁面說明，其 confirmed 標籤並不代表嘗試成功。該文章轉述了公司的說法，並報導來自單一來源、被一個感測器捕獲的八次嘗試。該公司自己的頁面（截至11月6日）統計的是一個感測器上的 4 次嘗試。兩個數字都很小，且未找到獨立驗證
本站的看法：官方來源與 KEV 並未確認利用，但有一家民營公司通報了攻擊嘗試。數量很少，且未經驗證。不過，由於攻擊所需的資訊已經在流傳，等待更多報導並不明智。請優先更新對外暴露的 Alpine sshd。
已知與未知
| 項目 | 公布的內容 | 狀態 |
|---|---|---|
| 問題 | 部分無 PAM 的 Linux 上，經由 sshd 的密碼驗證繞過；在 10.6p2 中規避（OpenSSH） | 已確認（OpenSSH） |
| CVE | CVE-2026-123158（CVE 紀錄） | 已確認 |
| 範圍 | 10.6p2 之前，Linux，無 PAM 的 musl；以 Alpine 為例（CVE 紀錄） | 已確認（CVE 紀錄） |
| Alpine 修補 | 3.16 至 edge 各分支均有修補套件（Alpine） | 已確認（Alpine） |
| 條件 | 啟用密碼驗證；星號帳號與 $ 格式雜湊帳號同時存在（Alpine） | Alpine 的描述 |
| glibc（Debian、RHEL 系列） | 官方來源把範圍限定為無 PAM 的 musl；關於 glibc 安全的說法僅見於媒體轉述的一位研究人員的說法 | 沒有明確的官方聲明 |
| 其他 musl 系統 | 媒體轉述研究人員的說法，指出其他 musl 系統與嵌入式用途值得檢查；未找到發行版的聲明 | 未確認 |
| 數值評分 | CVE 紀錄中的 8.1；NVD 尚未分析 | 部分 |
| 利用 | 民營公司通報了攻擊嘗試；未找到獨立驗證 | 已通報（未驗證） |
| CISA KEV | 11月4日更新的資料中未收錄 | 未收錄 |
如果由他人維運您的伺服器
如果您使用外包廠商的伺服器、VPS 或容器平台，請問三個問題。
- sshd 是否在執行？如果是，它是否是未啟用 PAM 的 musl 系統（如 Alpine）？
- 是否已更新到 10.6p2 或發行版的修補套件，並重新啟動了 sshd？是什麼時候？
- 是否允許密碼驗證？sshd 能否從網際網路連線？
本站的看法：不要留著一扇密碼之門
關閉密碼驗證、只用金鑰，Alpine 把這一問題列為不影響您。為了方便而敞開的門，正是會被人使用的門。除了更新，請重新檢視 sshd 是否暴露，以及密碼欄位為星號的帳號都用來做什麼。關於如何決定優先順序，參見 如何替弱點排優先順序（CVSS、EPSS、KEV）。
時間軸
2026年11月5日
OpenSSH 發布帶有規避措施的 Portable OpenSSH 10.6p2。Alpine Linux 發布公告與修補套件。CVE-2026-123158 公布。11月6日
NVD 收到該紀錄（尚無自己的分析）。Help Net Security 報導指出，一家民營威脅情資公司在公開後不到九小時內看到了攻擊嘗試。11月7日
本站查核了 OpenSSH 發行說明、CVE 與 NVD 紀錄、Alpine 的公告與 KEV。KEV 中未收錄。
來源（公開紀錄）
查核日期：2026年11月7日。官方來源在前。
- OpenSSH Release Notes, 10.6p2（2026年11月5日）— openssh.org
- Alpine Linux, OpenSSH password authentication bypass（2026年11月5日）— alpinelinux.org / 安全追蹤器
- CVE-2026-123158（2026年11月5日公布）— cve.org / nvd.nist.gov
- CISA 已知遭利用弱點目錄（11月7日查核；資料更新於11月4日）— cisa.gov / JSON
- 媒體報導（轉述一家民營公司的說法；未找到獨立驗證）：Help Net Security（2026年11月6日）— helpnetsecurity.com
更新紀錄
2026-11-07：首版，依據 OpenSSH 10.6p2 發行說明、CVE 與 NVD 紀錄以及 Alpine 的公告撰寫。截至11月7日，KEV 中未收錄。一家民營公司通報了攻擊嘗試（未經驗證）。
延伸閱讀
- SSH 資安習慣：SSH 金鑰的最小權限
- 檢查是否遭入侵：檢查伺服器是否有遭入侵的跡象
- 弱點公布之後：弱點公布後該怎麼做 / 如何替弱點排優先順序（CVSS、EPSS、KEV）
- 事前準備：資安資產盤點檢查表
- 詞彙表：什麼是 CVE？