OpenSSHの開発チームは11月5日、OpenSSH 10.6p2 (2026-11-05)において、パスワード認証を回避できる脆弱性を修正した「OpenSSH 10.6p2」を公開した。脆弱性には「CVE-2026-123158」が割り当てられている。

特定の条件下では、パスワードを設定していないアカウントに第三者がログインできる恐れがある。Alpine Linuxなどが影響を受け、開発元は速やかな更新を呼びかけている。

OpenSSHは、ネットワークを介してサーバに安全に接続するためのSSHプロトコルを実装したオープンソースソフトウェア（OSS）。対象の脆弱性は、SSHサーバ「sshd」のパスワード認証処理に関係するもので、特定のLinux環境において認証を回避される可能性がある。

OpenSSHの開発チームは、この問題の根本原因はsshdの外部にあるものの、sshdを経由して悪用できることから、OpenSSH側で回避策を実装したと説明している。

  • パスワード認証を回避できる脆弱性を修正した「OpenSSH 10.6p2」が公開された

    パスワード認証を回避できる脆弱性を修正した「OpenSSH 10.6p2」が公開された

257バイト以上のパスワードで認証を回避

対象の脆弱性は、標準Cライブラリとして「musl libc」を使用し、認証モジュール「PAM」を無効にしたLinux環境に影響を及ぼす。

通常、パスワードが設定されていないアカウントでは、パスワード認証によるログインはできない。しかし、影響を受ける環境では、攻撃者が257～1024バイトの長いパスワードを送信することで、認証を回避できる場合がある。

原因は、musl libcのパスワードハッシュ処理にある。musl libcの関数「crypt()」は、256バイトを超えるパスワードを処理すると、エラーを示す「」を返す。一方、パスワードが設定されていないアカウントでも、パスワード情報に「」が使用されることがある。

このため、特定の条件が重なると、エラーを示す値と保存されたパスワード情報が一致し、認証に成功したと誤って判定される。

攻撃が成立するには、パスワード認証が有効になっていることに加え、パスワード情報が「*」のアカウントが存在し、別のアカウントに所定の形式のパスワードハッシュが設定されていることなどが条件となる。

条件を満たす環境では、攻撃者は正規のパスワードを知らなくても、SSH経由でログインできる可能性がある。

Alpine Linuxが影響、更新後はsshdの再起動が必要

この脆弱性の影響を受ける代表的なLinuxディストリビューションがAlpine Linuxだ。

Alpine Linuxの開発チームも11月5日、Security advisory: openssh-server password authentication bypassにおいて、OpenSSHの修正版パッケージを提供した。

Alpine Linuxによると、バージョン3.21～3.24および開発版のedgeに加え、通常のサポートが終了した3.16～3.20にも影響があり、修正版パッケージを提供している。

また、バージョン3.18.11～3.24.3の公式クラウドイメージ「tiny-cloud」には、パスワードが設定されていない「alpine」ユーザーが含まれる。特定の条件下でこのアカウントへのログインが可能となり、さらに「doas」を利用してroot権限を取得される恐れがある。

ただし、Alpine Linuxを使用するすべての環境が影響を受けるわけではない。パスワード認証を無効にしている環境や、PAMを有効にしている環境などは対象外となる。また、sshdを実行していないDockerコンテナなども影響を受けない。

Alpine Linuxは、影響を受ける環境に対してOpenSSHパッケージの速やかな更新と、sshdの再起動を推奨している。パッケージを更新するだけでは、実行中のsshdに修正が反映されないため注意が必要だ。

すぐに更新できない場合は、sshdの設定で「PasswordAuthentication no」を指定してパスワード認証を無効にし、sshdを再起動することで回避できる。