CVE-2026-123158: obejście uwierzytelniania hasłem w OpenSSH na Linuksie z musl

Podsumowanie

Parametr	Wartość
CVE ID	CVE-2026-123158
Źródło alertu	CISA KEV - Aktywna eksploatacja
Rok publikacji CVE	2026
Data publikacji	2026-11-09
Producent	OpenBSD
Produkt	OpenSSH
CVSS Score	8.1 (Wysoki)
EPSS Score	1.0% (percentyl: 63%)
CISA KEV	Tak - potwierdzona aktywna eksploatacja
Ransomware	Nie potwierdzono
Termin na reakcję	2026-11-12

Opis podatności

Źródło: NVD, CISA KEV, OpenSSH

Podatność w serwerze sshd z pakietu OpenSSH w wersjach starszych niż 10.6p2, występująca wyłącznie na systemach Linux korzystających z biblioteki musl libc i bez PAM (przykładem takiej platformy jest Alpine Linux). sshd nie miał obejścia dla zachowania funkcji crypt() w musl: gdy hasło przekracza limit długości, crypt() zwraca zamiast skrótu pojedynczy znak * — ten sam, którym w /etc/shadow oznacza się konta bez hasła lub z zablokowanym logowaniem hasłem. W efekcie dla części kont (np. root, konta logujące się wyłącznie kluczem, konta z LDAP) dowolne hasło o długości od 256 do 1024 znaków zostaje zaakceptowane.

Luka pozwala zdalnie, bez znajomości hasła, zalogować się przez SSH na podatne konto. CISA dodała ją do katalogu KEV jako aktywnie wykorzystywaną; publicznie dostępne są środowiska demonstrujące atak. Zespół OpenSSH wydał wersję 10.6p2 w trybie pilnym 5 listopada 2026 r. i ocenia, że pierwotna przyczyna leży poza samym OpenSSH, ale to po jego stronie najszybciej można ją obejść. Systemy inne niż Linux, Linux z glibc oraz systemy uwierzytelniające hasła przez PAM nie są podatne.

Wymagane działania

• Zaktualizuj OpenSSH do wersji 10.6p2 lub nowszej (albo do pakietu dystrybucji zawierającego tę poprawkę). Termin CISA dla agencji federalnych USA: 2026-11-12.
• Do czasu aktualizacji na każdym podatnym systemie ustaw w sshd_config PasswordAuthentication no (zalecenie zespołu OpenSSH) albo wyłącz SSH na tym hoście.
• Zinwentaryzuj, gdzie sshd działa na Linuksie z musl: hosty i maszyny wirtualne z Alpine Linux, obrazy kontenerów z sshd zbudowane na Alpine, urządzenia i appliance’y z Linuksem wbudowanym (OpenWrt, Buildroot, Yocto). W przypadku urządzeń zależnych od producenta śledź komunikaty i aktualizacje firmware.
• Przejrzyj logi sshd pod kątem udanych logowań hasłem na konta, które nie powinny ich przyjmować (root, konta techniczne logujące się kluczem), szczególnie z adresów spoza sieci administracyjnej.

Kogo dotyczy?

Podatność dotyczy OpenSSH (projekt OpenBSD) przed wersją 10.6p2, ale tylko w konfiguracji: Linux + musl libc + uwierzytelnianie hasłem bez PAM. Typowo są to serwery i kontenery oparte na Alpine Linux oraz urządzenia sieciowe i appliance’y z Linuksem wbudowanym. Serwery z RHEL, Debianem, Ubuntu i innymi dystrybucjami opartymi na glibc nie są podatne. Ryzyko jest największe tam, gdzie port SSH podatnego systemu jest dostępny z internetu lub z szerokiej sieci wewnętrznej.

Źródła

• NVD - CVE-2026-123158
• CISA KEV Catalog
• OpenSSH 10.6p2 - informacje o wydaniu
• OpenSSH - commit z obejściem
• FIRST EPSS

---

Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.