【脆弱性】OpenSSHに認証回避の脆弱性、修正版を公開

OpenSSHは2026年11月5日、Linux上で動くsshdの一部構成に、パスワード認証を回避される脆弱性があるとして修正版を公開した。識別番号はCVE-2026-123158。条件によっては、正しいパスワードを知らない相手が対象のアカウントにログインできる。

影響を受けるのは、musl libcを使い、PAMを使わずに動作するOpenSSHのsshdで、修正が適用されていない構成。パスワード認証が有効で、パスワード欄が「*」のアカウントや、照合に必要な情報を借りられる別のアカウントが存在することなどが成立の条件となる。攻撃者はSSHポートに到達できる必要がある。

257〜1024バイトのパスワードを使った認証時に、処理のエラーを示す文字列とアカウントの保存値が一致することで、認証が通る。条件によってはroot権限に至ることもあるとしている。

OpenSSHは10.6p2で修正した。Alpine Linuxも修正パッケージを公開しているが、修正済みでも版番号だけでは対象に見える場合がある。更新後はsshdの再起動が必要となる。更新できない場合は、鍵ログインを確認したうえでパスワード認証を無効にし、sshdを再起動する方法が示されている。

資料によると、公開された悪用の報告は確認されておらず、CISAの既知の悪用された脆弱性カタログにも登録されていない。更新前に公開されていたサーバーについては、ログインの痕跡を確認するよう案内されている。