OpenSSH 緊急修補 SSHole 長密碼身分驗證繞過漏洞 CVE-2026-123158

已有來源支持的內容

OpenSSH 10.6p2 針對在停用 PAM、搭配 musl libc 的環境下，可經由 sshd 觸發的密碼驗證繞過提供緊急修補 ^[1]。SecurityWeek 報導該缺陷被稱為 SSHole，CVE-2026-123158， 8.1 ^[3]。

攻擊者需能連線至 SSH 埠，並知悉密碼欄位為「*」的帳號名稱，且系統上至少另有一個使用 $5$ 或 $6$ 密碼雜湊的本機帳號 ^[2]。Alpine 官方 tiny-cloud 映像中的 alpine 使用者在特定條件下也可能受影響 ^[2]。來源未證實野外已遭利用 ^[2][3]。

更新至含修補的 OpenSSH／發行版套件並重啟 sshd；可設 PasswordAuthentication no ^[2]。並檢查日誌中無密碼帳號是否出現 Accepted password for 紀錄 ^[2]。

來源原文核對摘錄：「This release contains a critical security workaround that affects Linux systems that use the musl libc and PAM disabled.」 ^[1]。

來源原文核對摘錄：「An attacker who can reach your SSH port can log in without knowing any password. It takes one connection, works every time, and needs no retries.」 ^[2]。

來源原文核對摘錄：「Dubbed SSHole and tracked as CVE-2026-123158 (CVSS score of 8.1), the security defect affects the OpenSSH server (sshd) on Linux distributions that use the musl libc implementation with the Pluggable Authentication Module (PAM) disabled.」 。