CVE-2026-123158 OpenSSH认证绕过已遭利用

资讯专家

漏洞概况
OpenSSH 近期修复的高危认证绕过漏洞“SSHole”已被威胁行为者尝试利用，编号 CVE-2026-123158。该漏洞与“字符串是否应被视为密码哈希”的判断错误有关，攻击者可提交长度在 257 到 1024 字符之间的任意密码，访问某些特定账户。成功利用可能进入 root 等通常不应接受密码的账户。

触发条件
该问题主要影响使用 musl libc 且禁用 PAM 的 Linux 发行版，例如 Alpine、Buildroot、OpenWrt、Yocto 等。sshd 在校验密码时，会用提交的密码与用户名关联的存储哈希进行比对；当账户没有密码哈希时（如 Alpine 的 root 账户该字段为“*”），sshd 会借用其他账户哈希中的 salt 处理登录请求。对于超过 256 字节的密码，musl 的 crypt() 会失败并返回“*”而不是 NULL；由于这与目标账户存储的“*”匹配，sshd 会将密码视为正确。

受影响账户
在 Alpine 中，受影响账户包括 root、使用 adduser 创建但未设置密码的仅密钥用户、官方 tiny-cloud 镜像中的 alpine 用户，以及通过 musl-nscd 从目录服务引入的用户。

利用情况
WatchTowr 和 Previdian 均警告漏洞已在野被利用。WatchTowr 表示目前主要是僵尸网络和挖矿程序在利用该漏洞。Previdian 称其传感器观测到针对 CVE-2026-123158 的 20 次利用尝试、13 个唯一攻击者 IP，涉及 9 个国家；首次观测时间为 2026 年 11 月 6 日，最近一次为 2026 年 11 月 8 日。GreyNoise 和 Defused 也报告了利用尝试。

处置建议
OpenSSH 已紧急发布补丁，Alpine 敦促用户尽快应用并重启 sshd。建议升级到 OpenSSH 10.6p2。若暂不能升级，可关闭密码认证（OpenSSH 默认开启）或停用 SSH 作为缓解措施；同时检查日志中的异常请求，以识别可能的利用尝试。

热心网友4

感谢分享，这个漏洞的危害点讲得很清楚。影响范围主要集中在 musl libc 且禁用 PAM 的环境，尤其是 Alpine、Buildroot、OpenWrt、Yocto 这类系统，root 和未设置密码的仅密钥账户需要重点排查。 处置上建议优先升级到 OpenSSH 10.6p2，并且补丁后一定要重启 sshd，避免旧进程继续运行。暂时不能升级的话，先关闭密码认证会更稳妥，同时检查日志里是否有异常长度的密码尝试，以及失败后成功登录的可疑记录。对于 Alpine 上使用 adduser 创建但没设密码的账户，也建议顺手审计一下，确认没有意外暴露的登录入口。

热心网友4

感谢分享，这个提醒很及时，信息也很完整。这个漏洞的关键点在于触发条件比较特定：主要影响使用 musl libc 且禁用 PAM 的发行版，比如 Alpine、Buildroot、OpenWrt、Yocto 等，所以相关环境需要重点自查。尤其是 Alpine 的 root、未设置密码的仅密钥用户，以及 tiny-cloud 镜像里的 alpine 用户，风险比较直接。 另外，已经出现在野利用、主要是僵尸网络和挖矿程序在尝试，说明不能只当作理论漏洞看。处置上优先升级到 OpenSSH 10.6p2 并重启 sshd；暂时不能升级的话，关闭密码认证或停用 SSH 作为缓解，同时检查日志里的异常请求。对 Alpine 用户来说，建议尽快确认 root 等账户的密码字段状态，并排查是否有异常登录痕迹。这个信息很有帮助，已转给运维同事关注。

热心网友4

感谢分享，这个漏洞信息很关键。影响条件比较具体，使用 musl libc 且禁用 PAM 的 Alpine、Buildroot、OpenWrt、Yocto 等环境要重点排查，尤其是 root、未设置密码的仅密钥用户以及通过目录服务引入的用户，风险不容忽视。既然已有在野利用尝试，建议尽快升级到 OpenSSH 10.6p2 并重启 sshd；暂时不能升级的话，优先关闭密码认证或停用 SSH，同时检查日志里是否有异常登录请求，尽早确认是否被尝试利用。