Aplikacje, API i chmura

OpenSSH „sshole” (CVE-2026-123158): zbyt długie hasło otwiera konta bez hasła na Alpine Linux, ataki po 9 godzinach

5 listopada 2026 OpenSSH wydał wersję 10.6p2 z poprawką dla CVE-2026-123158, nazwanej „sshole”. Na systemach z biblioteką musl bez PAM – w tym w domyślnym pakiecie Alpine Linux – hasło dłuższe niż 256 znaków pozwala zalogować się na konto, które w ogóle nie ma hasła. Pierwszą próbę ataku zaobserwowano niespełna 9 godzin po publikacji CVE.

  • ŹródłoHelp Net Security
  • Publikacja źródła6 listopada 2026
  • TypZagrożenia i incydenty

Co się wydarzyło

Mechanizm łączy dwie stare decyzje projektowe. Od 2016 roku sshd, by nie zdradzać istnienia kont, hashuje podane hasło solą innego konta także wtedy, gdy konto docelowe nie ma użytecznego hasha. Z kolei funkcja crypt() w bibliotece musl od 2012 roku odrzuca hasła SHA-256 i SHA-512 dłuższe niż 256 bajtów i zwraca wtedy znak „*”. Ten znak pokrywa się z zapisem „*” w polu hasła kont bez hasła (np. kont logujących się tylko kluczem SSH albo użytkowników LDAP), więc sshd akceptuje logowanie. Systemy z glibc (Debian, Ubuntu, Fedora), konfiguracje z PAM, Dropbear i OpenBSD nie są podatne.

Firma Previdian odnotowała 6 listopada osiem prób z jednego adresu IP w Japonii; jedna się powiodła – honeypot z prawdziwym Alpine Linux i OpenSSH dał napastnikowi uprawnienia root. W chwili publikacji luki nie było jeszcze w katalogu CISA KEV. Na GitHubie krążą exploity proof-of-concept, które według Previdian mogą zawierać złośliwy kod.

Najważniejsze ustalenia

  • Podatne: OpenSSH przed 10.6p2 zbudowany z musl i bez PAM, z włączonym logowaniem hasłem (domyślnie włączone) i kontem z „*” w polu hasła; dotyczy domyślnego Alpine Linux, a według badacza także OpenWrt, Buildroot, Yocto i wielu obrazów kontenerów.
  • Szczególnie narażone według SOCRadar: obrazy chmurowe Alpine tiny-cloud dla AWS i Azure w wersjach 3.18.11–3.24.3 – przez domyślnego użytkownika „alpine” z uprawnieniami doas bez hasła.
  • Wykorzystanie: pierwsza próba niespełna 9 godzin po publikacji CVE; udane przejęcie konta root na honeypocie Previdian.
  • Poprawka: OpenSSH 10.6p2 i pakiety Alpine dla gałęzi od 3.16 do edge (5.11.2026); sama instalacja nie restartuje działającego procesu sshd.

Dlaczego to ważne

Komentarz SafeWaveLuka jest trywialna do wykorzystania i dotyczy dokładnie tych systemów, które najłatwiej przeoczyć w inwentaryzacji: kontenerów, urządzeń brzegowych i obrazów chmurowych opartych na Alpine. Kolejność działań: wyłączyć logowanie hasłem wszędzie, gdzie to możliwe (opiekun OpenSSH zalecał zrobić to natychmiast); zaktualizować do 10.6p2 i zrestartować sshd; przejrzeć logi pod kątem udanych logowań hasłem na konta bez hasła (alpine, root, konta tylko z kluczem), a także nowych użytkowników, zmian w kluczach autoryzowanych i użycia doas. Jeśli przejęcia nie da się wykluczyć, system trzeba traktować jako skompromitowany. To kolejny przykład z tego tygodnia, że okno między ujawnieniem a atakiem liczy się w godzinach.