musl

OpenSSH 10.6p2 緊急修補（CVE-2026-123158）：Alpine 等未啟用 PAM 的 musl 系統上，sshd 的密碼驗證可被繞過

2026年11月5日，OpenSSH 發布 10.6p2，針對部分在停用 PAM 的情況下建置並執行的 Linux 系統（尤其是使用 musl libc 的系統）上 sshd 的密碼驗證繞過問題，提供了關鍵的規避措施。對應 CVE 為 CVE-2026-123158（CVSS 3.1 基礎分數 8.1，依 CVE 紀錄自身的評分）。Alpine Linux 當天發布公告，並為各分支提供了修補後的套件。依 Alpine 所述，符合以下條件的主機受影響：啟用了密碼驗證，某個帳號的密碼欄位為星號，且另一帳號持有一般雜湊。啟用 PAM、設定了 PasswordAuthentication no 的環境，以及不執行 sshd 的容器不受影響。截至11月7日，CISA 的 KEV 尚未收錄。一家民營威脅情資公司據稱在公開後不到九小時內就觀察到攻擊嘗試，但未找到獨立驗證。本站的結論：確認 sshd 是否執行在未啟用 PAM 的 musl 上，更新到 10.6p2 或發行版的修補套件並重新啟動 sshd，在此之前關閉密碼驗證，並檢視驗證日誌。