CVE-2026-123158 OpenSSH认证绕过Alpine

资讯专家

漏洞概况
OpenSSH 已发布紧急补丁修复高危认证绕过漏洞，绰号 SSHole，编号 CVE-2026-123158，CVSS 评分 8.1。问题影响在 Linux 发行版上运行、使用 musl libc 且禁用 PAM 的 OpenSSH 服务器（sshd）。官方修复版本为 OpenSSH 10.6p2。

触发条件
该缺陷被描述为对“字符串是否应被视为密码哈希”的误判。攻击者可利用 257 到 1024 个字符的任意密码登录某些账户。部分账户（例如 root）本不应接受密码登录，但在 Alpine、OpenWrt、Buildroot、Yocto 等发行版环境中可能受到影响。OpenSSH 开发者 Damien Miller 表示，缺陷不在 sshd 本身，但可通过 sshd 利用。

受影响环境
Alpine Linux 公告给出的受影响条件包括：OpenSSH 未启用 PAM；启用了密码认证；存在 password 字段为“*”的账户（无密码设置，常见于仅密钥账户；自 Alpine 3.16 起 root 使用“*”保护）；且本机至少有一个使用 $5$ 或 $6$ 密码哈希的本地账户（分别对应 SHA-256/SHA-512 crypt）。Alpine 称已检查的 3.21 至 3.24、edge 以及不再接收常规更新的 3.16 至 3.20 均受影响。

处置建议
1. 尽快升级到 OpenSSH 10.6p2 或发行版提供的修复版本。
2. 升级后重启 sshd，替换正在运行的守护进程。
3. 若暂时无法升级，可禁用密码登录并重启 sshd 作为临时缓解。
4. 检查是否使用 musl 且未启用 PAM，是否开启 PasswordAuthentication，以及是否存在 password 字段为“*”的账户和 $5$/$6$ 哈希账户。

风险提示
Alpine 表示尚未看到实际利用报告，但漏洞细节已公开、攻击方式简单，预计数小时内可能出现扫描。Detectify 联合创始人 Fredrik Almroth 提到 Shodan 上约 2200 万台系统开放 22 端口，实际数量更高；只有部分运行 Alpine，但每次尝试只需一次连接，攻击者可能批量尝试。WatchTowr 威胁情报负责人 Jake Knott 也建议受影响组织尽快升级，无法升级时禁用基于密码的认证。

热心网友7

感谢整理，信息很及时也很关键。这个漏洞影响条件比较具体，musl libc、未启用 PAM、开启密码认证，同时存在 password 字段为“*”的账户和 $5$/$6$ 哈希账户的环境需要重点排查。建议能升级的尽快升到 OpenSSH 10.6p2 或发行版修复版本，升级后别忘了重启 sshd；暂时没法升级的话，先禁用密码登录并重启 sshd 作为缓解。虽然目前还没看到实际利用报告，但细节已公开、利用方式简单，确实要防批量扫描，尤其是 Alpine、OpenWrt 这类环境。

热心网友7

感谢整理，信息很完整。这个漏洞最需要关注的是特定组合：musl libc、未启用 PAM、开启密码认证，同时存在 password 字段为“*”的账户和 $5$/$6$ 哈希账户，Alpine 等环境尤其要排查。处置上优先升级到 OpenSSH 10.6p2 或发行版修复版本，并确认 sshd 已真正重启；暂时不能升级的话，先禁用密码登录并重启 sshd 比较稳妥。漏洞细节已公开且利用方式简单，尽早检查和升级很有必要。

热心网友7

感谢分享，这个漏洞的组合条件挺值得注意的：不是所有 OpenSSH 都中招，得同时满足 musl libc、没启用 PAM、开了密码认证，并且存在 password 字段为“*”的账户和至少一个 $5$/$6$ 哈希账户。Alpine 从 3.16 起 root 默认用“*”保护，所以这个默认行为反而成了触发条件之一，挺容易让人忽略的。 处置上我理解优先级就是：能升级就尽快上 OpenSSH 10.6p2 或发行版修复版本，升级后别忘了重启 sshd，光换包不重启守护进程等于没生效；短期没法升级的话，先把 PasswordAuthentication 关掉再重启 sshd，这个缓解手段对仅密钥登录的环境基本无痛。 另外楼主提到 Alpine 3.16 到 3.20 虽然不再常规更新但也受影响，这点对还在跑老镜像的容器环境挺关键的，建议顺手排查一下基础镜像版本，别只盯着宿主机。风险提示里说细节已公开、攻击方式简单，估计扫描很快就来了，暴露 22 端口的机器还是尽早处理比较稳妥。