PoC pública do bypass sshole do OpenSSH; atualize para 10.6p2
A falha CVE-2026-123158, batizada sshole, permite login como root e em contas só com chave SSH em servidores Linux com musl libc sem PAM, como Alpine, OpenWrt, Buildroot e Yocto, com qualquer senha de 257 a 1.024 bytes. A correção está no OpenSSH 10.6p2 e em pacotes corrigidos do Alpine, que pede aplicar o patch e reiniciar o sshd. Há prova de conceito pública da Positive Technologies e nenhum relato de exploração até agora; pesquisadores esperam varredura em massa em horas.
O que aconteceu
Uma falha no OpenSSH, a CVE-2026-123158, permite que atacantes entrem por SSH em contas sem senha, incluindo root, em servidores Linux com musl libc sem PAM, como Alpine. Basta acesso de rede, o nome da conta e uma senha de 257 a 1.024 bytes. A OpenSSH classifica a falha como crítica; a SecurityWeek atribui CVSS 8.1.
Por que importa
Em servidores afetados, o atacante obtém acesso com os privilégios da conta visada, podendo chegar ao root. O ataque exige uma única conexão e funciona toda vez, segundo o Alpine Linux. O usuário padrão alpine das imagens tiny-cloud oficiais para AWS e Azure está afetado, e pesquisadores esperam varredura automática em massa em horas.
O que fazer
Atualizar o openssh-server para o OpenSSH 10.6p2 ou para os pacotes corrigidos do Alpine e reiniciar o sshd. Se a atualização não for possível agora, desativar a autenticação por senha e reiniciar o sshd. Levantar todos os servidores com musl libc sem PAM, incluindo Alpine, OpenWrt, Buildroot e Yocto.
Para o time técnico
- CVE
- CVE-2026-123158
- Afetados
- OpenSSH Portable (Linux com musl libc, sem PAM) · OpenSSH Portable em distribuições Linux com musl libc e sem PAM: Alpine, OpenWrt, Buildroot, Yocto e outras. Inclui o pacote padrão openssh-server do Alpine. No Alpine, todas as versões verificadas, 3.21 a 3.24 e edge, e as versões antigas 3.16 a 3.20, que não recebem mais atualizações regulares. Desde a versão 3.16 o Alpine usa '*' para proteger o root.
- Exploração
- Prova de conceito pública divulgada pela Positive Technologies (PT-2026-137533); o pesquisador @0xacb publicou reprodução do bug. Fredrik Almroth, da Detectify, diz que não há relatos de exploração, mas espera varreduras em horas; Jake Knott, da WatchTowr, espera tentativas até o fim de semana.
- Correção
- OpenSSH 10.6p2. O Alpine publicou pacotes corrigidos e recomenda aplicar o patch e reiniciar o sshd para trocar o daemon em execução. Sem atualização, mitigação: desativar a autenticação por senha e reiniciar o sshd.
- Vetor
- sshd em Linux com musl libc e verificação de senha sem PAM. A crypt do musl devolve '*' para senhas com mais de 256 bytes, o mesmo valor do campo shadow de contas bloqueadas, e o sshd aceita o login. Condições: autenticação por senha habilitada, conta com campo '*' (root, conta só com chave SSH, usuário alpine das imagens tiny-cloud ou conta vinda de serviço de diretório via musl-nscd) e ao menos uma conta local com hash $5$ ou $6$. O atacante precisa de acesso de rede à porta SSH e do nome da conta.
- Mais detalhes
- Falha descoberta por Özgün Kültekin, da Wakefield. Segundo Damien Miller, da OpenSSH, o defeito está fora do sshd, mas é explorável via sshd; ele citou redescoberta rápida de bugs por agentes de IA como motivo do lançamento rápido da correção. Segundo Fredrik Almroth, o Shodan lista cerca de 22 milhões de sistemas com SSH aberto na porta 22. Cada tentativa é uma única conexão, sem novas tentativas, segundo o Alpine.
Linha do tempo
Pesquisa detalha que, em sistemas Linux com musl libc sem PAM, algumas contas aceitam qualquer senha de 257 a 1024 caracteres.
Positive Technologies divulga prova de conceito pública (PT-2026-137533) para o bypass de autenticação, já corrigido no OpenSSH 10.6p2.
Novos detalhes: a falha também atinge o pacote padrão de openssh-server do Alpine, permite login em contas somente com chave SSH usando senha de 257 a 1.024 bytes e é classificada como crítica pela OpenSSH; o Alpine publicou pacotes corrigidos.
Quer as próximas atualizações no seu e-mail? Inscreva-se na edição diária →
Ver todas as 9 atualizações
Alerta reafirma a correção no OpenSSH 10.6p2 e recomenda reiniciar o sshd; sem atualização, desativar autenticação por senha mitiga a falha.
Imagens Alpine para AWS e Azure têm o usuário padrão alpine afetado e com doas sem senha, o que dá root ao invasor; reprodução pública da falha circula.
A falha, batizada 'sshole', aceita qualquer senha com mais de 256 caracteres em instalações Alpine, OpenWrt, Buildroot e Yocto configuradas sem PAM.
Pesquisador publica reprodução do bug (CVE-2026-123158) e indica correção no OpenSSH 10.6p2, com o pacote atual do Alpine já corrigido.
Publicação detalha os requisitos do bypass: logins SSH por senha habilitados, verificação sem PAM, uma conta sem senha e outra com hash compatível; contas só com chave também podem ser expostas.
Primeira divulgação pública da falha, ainda sem correção anunciada nem relato de exploração.
Fontes 10 fontes
- @ptdbugs @ptdbugs
- @TheHackersNews @TheHackersNews
- @caseyjohnellis @caseyjohnellis
- @0xacb @0xacb
- @0xacb @0xacb
Ver todas as 15 fontes
- @DarkWebInformer @DarkWebInformer
- @bountywriteups @bountywriteups
- @bountywriteups @bountywriteups
- @DarkWebInformer @DarkWebInformer
- @EnclaveAI @EnclaveAI
- @ethiack @ethiack
- @ethiack @ethiack
- OpenSSH Issues Emergency Fix for Flaw Letting Long Passwords Bypass SSH Auth on Alpine Linux The Hacker News
- @ptdbugs @ptdbugs
- OpenSSH Rushes Patches for ‘SSHole' Authentication Bypass SecurityWeek
