A CISA adicionou a CVE-2026-123158 ao catálogo de vulnerabilidades exploradas, e o Alpine Linux alerta que servidores SSH afetados podem aceitar uma senha arbitrária. A falha, conhecida como “SSHHole”, ocorre em determinadas configurações do OpenSSH executado sobre Linux com musl libc e PAM desabilitado.
Em um cenário vulnerável, um atacante que alcance a porta SSH pode autenticar sem conhecer a senha de uma conta elegível. O Alpine informa que uma única conexão pode ser suficiente e que não são necessárias tentativas repetidas. A vulnerabilidade recebeu CVSS 3.1 de 8,1, nível alto.
O que é a CVE-2026-123158
O problema está no fluxo de autenticação por senha do sshd. O registro CVE informa que versões do OpenSSH anteriores à 10.6p2, quando executadas em Linux com musl libc e sem PAM, não contêm uma proteção contra uma interpretação incorreta do campo usado como hash de senha.
Em determinadas configurações de contas, uma senha entre 256 e 1024 caracteres pode ser aceita. No Alpine, o cenário típico envolve uma conta cujo campo de senha é *, como uma conta configurada para acesso apenas por chave, e pelo menos uma conta local com hash de senha iniciado por $5$ ou $6$.
O ataque não exige que o invasor conheça a senha real. Ele exige alcance de rede à porta SSH e a combinação de configurações descrita no advisory. A falha não deve ser generalizada para todo servidor OpenSSH ou todo sistema Linux.
Condições que tornam o Alpine vulnerável
O Alpine Linux considera o sistema vulnerável quando o servidor usa o pacote openssh-server, compilado sem PAM, ou o pacote com PAM configurado com UsePAM no. A opção PasswordAuthentication também precisa estar habilitada.
Além disso, deve existir uma conta com o campo de senha * no arquivo de credenciais, e pelo menos uma conta local deve ter um hash de senha com prefixo $5$ ou $6$. Isso pode ocorrer em contas criadas para acesso por chave, na conta root de imagens Alpine ou em usuários de determinados serviços de diretório.
O cenário também pode atingir imagens tiny-cloud. O Alpine informa que imagens oficiais das séries 3.18.11 até 3.24.3 podem se tornar exploráveis depois que um hash $6$ é criado na máquina, por exemplo quando um administrador define uma senha no console ou quando o user-data cria um usuário com senha armazenada.
Versões e pacotes corrigidos
| Branch Alpine | Versão corrigida do openssh |
|---|---|
| edge | 10.6_p2-r0 |
| 3.24 | 10.3_p1-r2 |
| 3.23 | 10.2_p1-r1 |
| 3.22 | 10.0_p1-r11 |
| 3.21 | 9.9_p2-r1 |
| 3.20 | 9.7_p1-r6 |
| 3.19 | 9.6_p1-r3 |
| 3.18 | 9.3_p2-r4 |
| 3.17 | 9.1_p1-r7 |
| 3.16 | 9.0_p1-r6 |
Para instalações upstream, o OpenSSH 10.6p2, lançado em 5 de novembro de 2026, contém a correção de segurança para o cenário Linux com musl libc e PAM desabilitado. Distribuições podem aplicar o patch em versões próprias, por isso administradores devem consultar os avisos de segurança e pacotes do fornecedor.
Por que a falha é grave
O SSH costuma ser um dos principais caminhos administrativos de servidores, appliances, containers privilegiados e máquinas de nuvem. Um bypass de autenticação pode transformar uma exposição de rede em acesso interativo a uma conta local.
O impacto depende dos privilégios da conta alcançada. No Alpine, a conta alpine em certas imagens tiny-cloud pode ter acesso sem senha ao doas. A conta root continua protegida pela configuração padrão PermitRootLogin prohibit-password, mas o risco aumenta se essa opção tiver sido alterada ou se outra conta puder elevar privilégios.
A CISA incluiu a CVE no KEV por evidência de exploração ativa. O prazo indicado no feed consultado é 12 de novembro de 2026. Isso exige ação imediata em hosts expostos, mesmo quando a organização não usa Alpine como distribuição principal.
Recomendações imediatas
Atualize o pacote e reinicie o daemon. No Alpine, a orientação oficial é executar apk upgrade -U -a e reiniciar o serviço com rc-service sshd restart. Atualizar o pacote não substitui o processo sshd que já está em execução.
Desabilite logins por senha enquanto atualiza. Se o patch não puder ser aplicado imediatamente, configure PasswordAuthentication no, valide a configuração com sshd -t e reinicie o daemon. Mantenha a sessão administrativa atual aberta até testar um novo login por chave.
Verifique PAM e a configuração efetiva. Não analise somente o arquivo principal. Confirme se o daemon usa PAM, se há blocos Match, se arquivos em /etc/ssh/sshd_config.d são carregados e qual valor aparece em sshd -T.
Reduza a exposição de rede. Restrinja a porta SSH a redes administrativas, VPNs ou bastion hosts. Essa medida reduz o alcance do ataque, mas não substitui o patch. Evite expor SSH diretamente na internet enquanto a correção não estiver aplicada.
Atualize imagens e templates. Revise imagens Alpine usadas em cloud-init, máquinas virtuais, Kubernetes, CI/CD e containers que executem sshd. Containers que não executam um servidor SSH não apresentam esse caminho de ataque.
Como investigar possível exploração
Procure em /var/log/messages e nos registros equivalentes linhas com Accepted password for associadas a contas sem senha configurada, como alpine, root ou usuários criados para acesso somente por chave. Também revise registros de doas, usuários recém-criados, arquivos modificados e novas chaves em authorized_keys.
Analise conexões de rede, comandos executados, tarefas agendadas, processos persistentes e alterações em arquivos sensíveis. Se não for possível descartar um login indevido, trate o host como comprometido: preserve evidências, isole o sistema conforme o plano de resposta e faça a rotação das credenciais acessíveis a partir dele.
Não teste a falha com senhas longas em produção. A validação deve ser feita por procedimento controlado, preferencialmente usando a versão corrigida, inventário de configuração e sinais de log. Evite gerar eventos de autenticação que possam ser confundidos com uma tentativa real de ataque.
Conclusão
A CVE-2026-123158 é um bypass de autenticação por senha no OpenSSH em Linux com musl libc e PAM desabilitado, quando condições específicas de conta e configuração estão presentes. No Alpine, o atacante pode alcançar uma conta sem senha com uma senha arbitrariamente longa, sem conhecer a credencial real.
O OpenSSH 10.6p2 e os pacotes corrigidos das branches Alpine 3.16 a 3.24 e edge resolvem o problema. Atualize e reinicie o sshd, desabilite temporariamente a autenticação por senha quando necessário e revise logs e privilégios dos hosts expostos, pois a CISA confirmou exploração ativa.
Fontes primárias
Alpine Linux: Security advisory: openssh-server password authentication bypass.
OpenSSH: Release Notes — OpenSSH 10.6p2.
CISA: CISA Adds Four Known Exploited Vulnerabilities to Catalog.
CVE.org: CVE-2026-123158.